Revolut confirme fuite de données : passeport et Bitcoin

Publié le 13/09/2026

Le 12 septembre 2026, la néobanque Revolut a reconnu publiquement avoir transmis des données personnelles sensibles à une adresse frauduleuse, après avoir été trompée par une demande imitant une communication officielle d'une agence gouvernementale. Passeports, relevés de transactions Bitcoin, adresses domiciliaires : la liste des informations divulguées soulève de sérieuses questions sur les protocoles de vérification des grandes plateformes financières numériques.

Comment des fraudeurs ont piégé Revolut avec une fausse demande officielle

L'attaque repose sur un mécanisme redoutablement efficace. Un tiers malveillant a utilisé le domaine email authentique d'une agence gouvernementale, accompagné d'identifiants apparemment valides, pour soumettre une demande d'informations clients. Les équipes de Revolut, face à une requête dont tous les attributs techniques semblaient légitimes, ont transmis les données sans détecter la supercherie.

Un porte-parole de Revolut a précisé à BeInCrypto : « Revolut a récemment identifié une cyberattaque sophistiquée d'usurpation, lors de laquelle un tiers non autorisé a utilisé un email provenant du domaine officiel d'une agence gouvernementale pour soumettre des demandes frauduleuses d'information. » La banque affirme avoir bloqué l'expéditeur dès la détection du problème.

Ce type d'attaque, appelé spoofing institutionnel, exploite la confiance accordée aux canaux officiels. Ce n'est pas un piratage des systèmes internes de Revolut à proprement parler : c'est une manipulation sociale à grande échelle, appuyée par une infrastructure technique crédible. L'identité exacte de l'agence concernée reste inconnue, Revolut invoquant le bon déroulement de l'enquête policière en cours.

Deux scénarios restent ouverts : soit la messagerie gouvernementale a elle-même été compromise, soit une personne disposant d'un accès interne a délibérément soumis la demande frauduleuse. Aucune réponse définitive n'a encore été apportée sur ce point.

Quelles données ont réellement été exposées lors de cette fuite

C'est ici que le fossé entre le discours officiel et la réalité des notifications clients mérite attention. Revolut a insisté sur ce qui n'a pas été compromis : les codes d'accès, les identifiants de connexion et les données biométriques au sens strict (c'est-à-dire les modèles faciaux construits par les algorithmes de reconnaissance). Aucun mouvement de fonds n'a eu lieu.

Pourtant, les notifications reçues par les utilisateurs affectés décrivent une réalité autrement plus préoccupante. Voici les catégories de données effectivement transmises aux fraudeurs :

• Copies de passeports et permis de conduire
• Selfies de vérification d'identité (hors modèle biométrique facial)
• Adresses domiciliaires
• Relevés bancaires
• Historique complet des transactions Bitcoin (entrantes et sortantes)

La nuance sur les selfies est significative : Revolut exclut la télémétrie faciale, mais la photo physique du visage a bel et bien été transmise. Pour des utilisateurs dont le passeport sert également de document pour voyager en Lettonie ou dans d'autres pays européens, cette exposition combinée représente un risque d'usurpation d'identité non négligeable.

L'enquêteur blockchain ZachXBT, reconnu pour traquer les flux de cryptomonnaies volées, a été l'un des premiers à signaler publiquement l'incident. Il a relevé que le groupe d'utilisateurs touché semble restreint, mais composé de profils particulièrement fortunés en actifs crypto. Ce ciblage précis suggère que les fraudeurs savaient très bien ce qu'ils cherchaient.

Ce que les utilisateurs Revolut doivent faire maintenant

Revolut affirme avoir contacté individuellement chaque personne concernée, en plus d'alerter l'agence gouvernementale impliquée, les autorités policières et les régulateurs compétents en matière de protection des données et de supervision financière. Cette réactivité est positive, mais elle ne dispense pas les utilisateurs affectés de prendre leurs propres précautions.

La combinaison passeport + adresse + historique financier constitue un kit d'usurpation d'identité quasi complet. Des incidents comparables dans le secteur des cryptomonnaies ont précédé des campagnes de phishing ciblées, voire, dans des cas extrêmes, des agressions physiques contre des détenteurs d'actifs numériques identifiables. Le risque n'est donc pas uniquement numérique.

Pour les utilisateurs dont le passeport a été exposé et qui prévoient de voyager prochainement, notamment vers des destinations comme le Honduras où les conditions de validité du passeport sont spécifiques, il peut être judicieux de vérifier si un renouvellement préventif est envisageable, afin de limiter l'utilisation d'un document désormais compromis.

Sur le plan pratique, plusieurs réflexes s'imposent immédiatement pour toute personne notifiée par Revolut :

Signaler la situation à votre banque première et surveiller tout mouvement inhabituel. Activer une alerte de fraude auprès des services de crédit disponibles dans votre pays. Renforcer l'authentification à deux facteurs sur tous vos comptes financiers, en particulier ceux liés à des portefeuilles crypto. Consulter les autorités locales si vous soupçonnez une tentative d'usurpation d'identité active.

Cette affaire illustre une réalité structurelle : même sans faille technique dans un système informatique, la manipulation d'un processus humain de validation suffit à déclencher une fuite massive. Les plateformes financières numériques, aussi robustes soient-elles techniquement, restent vulnérables aux attaques qui ciblent les procédures et les personnes plutôt que le code. Revolut devra vraisemblablement revoir en profondeur ses protocoles de réponse aux demandes institutionnelles.