Fuite de données chez Revolut : la néobanque piégée par des pirates, que s’est-il passé ?

Revolut a été victime d’une fuite de données. La banque en ligne a été piégée par des pirates qui usurpaient l’identité d’une agence du gouvernement. La néobanque britannique a transmis des informations sensibles, dont passeports et selfies, sans se poser trop de questions…

Fin de la semaine dernière, Revolut s’est mis à annoncer une mauvaise nouvelle à ses clients. Comme on l’a vu sur les réseaux sociaux, la néobanque britannique explique avoir été victime d’une cyberattaque avec fuite de données. Selon la banque en ligne, un pirate s’est fait passer pour une agence gouvernementale avant d’entrer en contact avec elle. Le truand s’est servi d’une fausse adresse mail afin de soumettre de fausses demandes d’informations concernant les utilisateurs.

À lire aussi : Faire ses achats en ligne sans cliquer – Revolut teste le paiement par IA

IBAN, passeport, selfies… Quelles données ont été volées ?

Dans un premier temps, Revolut a estimé que la requête était authentique et qu’elle provenait bien des autorités. Pour justifier sa décision, la banque, qui revendique plus de 80 millions de clients particuliers et 800 000 clients professionnels dans plus de 160 pays, indique que la « communication comportait des identifiants d’authentification de domaine valides ». De facto, Revolut a « raisonnablement » cru qu’il s’agissait « d’une demande authentique émanant d’une agence gouvernementale ».

Sans se douter de la supercherie, Revolut a répondu favorablement à la demande des pirates. La néobanque a transmis une série d’informations sensibles sur une partie de ses clients, dont l’identité complète (nom, date de naissance, profession), leurs coordonnées (adresse postale, e-mail, téléphone), leurs documents d’identité (passeport ou permis de conduire) et leurs selfies de vérification biométrique, réalisés à l’ouverture du compte.

Ce n’est pas tout. Des relevés de compte avec numéro IBAN, l’historique des retraits et l’intégralité des transactions, y compris l’activité en bitcoin, ont été transmis aux hackers. Ce sont évidemment des données très sensibles, qui peuvent mettre les victimes dans le collimateur d’escrocs ou de criminels. Revolut précise que la fuite concerne très peu de personnes. Celles-ci ont toutes été contactées personnellement par Revolut.

Après avoir transmis les données, Revolut est entré en contact avec la véritable agence gouvernementale…. et s’est rendu compte que ses équipes sont tombées dans un piège. Dès la détection de la fraude, l’adresse e-mail a été bloquée. Revolut affirme avoir alerté l’agence gouvernementale usurpée, les forces de l’ordre, ainsi que les autorités de protection des données et tous les régulateurs financiers compétents.

À lire aussi : Une fuite de données touche Micromania, attention aux arnaques au colis !

Des cibles fortunées

Selon les investigations menées par le chercheur ZachXBT, les pirates ont demandé spécifiquement les données relatives à des utilisateurs qui jouissent d’un gros patrimoine sur leur compte. Les données sont actuellement échangées sur Telegram, la messagerie devenue le repaire des cybercriminels.

‼️ BREAKING: The threat actors who targeted Revolut with information-demand emails are now posting sensitive customer data, including that of high-profile clients such as tennis player Shevchenko and Römer, CEO of Gamdom/Skinscom.

They want Revolut to pay up. They say they’ll… pic.twitter.com/obuVOOABx7

— International Cyber Digest (@IntCyberDigest) September 13, 2026

On peut redouter que les criminels se servent des données volées pour mener des opérations d’extorsion, à l’heure où les agressions visant les détenteurs de cryptos se multiplient en Europe, en particulier en France. Le ministère français de l’Intérieur a recensé plus de 80 cas de séquestration, enlèvement ou extorsion visant des détenteurs de cryptomonnaies dans l’Hexagone depuis le début de l’année.

Ce n’est pas la première fois que Revolut est victime d’une fuite de données. En septembre 2022, une violation d’envergure avait déjà divulgué les informations de plus de 50 000 clients.