Revolut piégé par une fausse requête officielle: données et Bitcoin exposés

Revolut a confirmé que des données sensibles de certains clients, dont l'historique complet de leurs transactions en Bitcoin, ont été transmises à un acteur non autorisé. La fintech avait répondu à ce qui ressemblait à une demande légitime émanant d'une agence gouvernementale. Ce qui distingue cet incident d'une cyberattaque classique, c'est qu'aucun système informatique de Revolut n'a été piraté: aucun serveur compromis, aucun mot de passe volé. Les données sont sorties par la grande porte, remises par des employés persuadés de répondre à une demande légale authentique.

Cet incident mérite une analyse approfondie, car le problème ne concernait ni la sécurité des systèmes ni celle des fonds, tous deux restés intacts. Il portait sur quelque chose de plus subtil: vérifier si celui qui demandait ces données était vraiment celui qu'il prétendait être. Voici ce qui s'est passé et pourquoi sa sophistication en fait un cas d'école.

Ce qui s'est passé, avec précision

Selon les déclarations de Revolut, la société a reçu des demandes d'informations provenant d'une boîte mail opérant effectivement au sein de l'infrastructure de domaine authentique d'une agence gouvernementale. Il ne s'agissait donc pas d'une adresse légèrement différente de la vraie, le genre de subterfuge plus facile à détecter. La demande a passé les contrôles techniques d'authentification habituels, précisément parce qu'elle provenait, d'un point de vue technique, du vrai domaine.

Revolut a qualifié l'incident de «fraude sophistiquée d'usurpation d'identité externe» et précisé que le nombre de clients touchés est limité, sans donner de chiffre précis ni révéler quelle agence a été utilisée comme couverture. Ce choix délibéré vise à ne pas permettre à d'autres entreprises de repérer facilement des messages similaires dans leurs propres archives. Une fois l'anomalie détectée, Revolut a bloqué l'adresse compromise sur l'ensemble de ses systèmes internes et a informé la véritable agence gouvernementale, les forces de l'ordre, les régulateurs financiers et les autorités de protection des données compétentes.

Quelles données ont été exposées

D'après les notifications envoyées aux clients concernés, les informations potentiellement partagées avec l'acteur non autorisé comprennent des documents d'identité, des adresses de résidence, des coordonnées, des relevés de compte, des références bancaires internationales, des registres de retraits et l'historique complet des transactions, y compris en Bitcoin. Sur un point précis, celui des selfies de vérification et des données biométriques, les informations disponibles sont contradictoires: certaines reconstitutions les incluent parmi les données exposées, tandis que la notification officielle de Revolut aux clients aurait précisé qu'aucune donnée biométrique faciale n'a été concernée. C'est un détail sur lequel il convient de rester prudent jusqu'à ce qu'une clarification officielle émerge.

Un chercheur très suivi dans le secteur, spécialisé dans l'analyse des transactions sur blockchain, a observé que l'incident semble avoir ciblé en particulier des clients disposant d'un patrimoine élevé, soulevant une préoccupation qui dépasse la simple confidentialité numérique. La combinaison d'une identité réelle vérifiée, d'une adresse de résidence et d'un historique détaillé des avoirs en cryptomonnaies constitue précisément le type d'information susceptible d'alimenter ce que le secteur appelle les «attaques à la clé à molette», des agressions physiques ciblant des personnes connues pour détenir des quantités importantes de cryptomonnaies. Parmi ceux qui ont publiquement confirmé avoir été touchés figure l'ancien PDG d'une plateforme d'échange crypto historique, aujourd'hui surtout connue pour sa retentissante et dramatique faillite.

Un contexte plus large: deux incidents en trois jours

Un élément de contexte rend cette affaire encore plus significative. Trois jours seulement avant cet épisode, un autre grand fabricant de portefeuilles hardware pour cryptomonnaies avait confirmé un incident similaire dans sa nature profonde: un compte utilisé pour envoyer ses communications officielles avait été compromis et exploité pour envoyer un faux avis de sécurité à des centaines de milliers d’abonnés, exactement le schéma que nous avions analysé dans notre article sur les faux e-mails de sécurité ayant touché les utilisateurs de BitBox et Trezor.

Le fil conducteur entre ces deux épisodes, pourtant différents dans leurs détails, est le même: dans les deux cas, ce n’est pas une technologie cryptographique qui a cédé, mais un canal de confiance existant, que les utilisateurs ou les entreprises tenaient pour acquis. C’est le même principe de fond que nous avions observé à propos d’autres incidents récents dans le secteur, comme le peg-out suspect impliquant Liquid Network ou l’exploit ayant touché six blockchains de l’écosystème Cosmos: ce n’est presque jamais la cryptographie de base qui cède, mais les processus humains et organisationnels construits autour d’elle.

Security incident at Brevo, our third-party email provider

Trezor's third-party marketing e-mail provider, Brevo has been breached in an attack. Trezor has quickly taken down the domain and is investigating the situation.

TrezorTrezor TeamSharing insights on crypto, security & self-custody

Que faire si vous êtes concerné

Pour ceux qui utilisent Revolut et craignent d’avoir été touchés par cet incident, le conseil principal est de vérifier directement via l’application ou le site officiel de la société, sans cliquer sur des liens reçus par e-mail qui pourraient eux-mêmes être frauduleux. Ce risque est concret dans les jours qui suivent un incident de ce type, lorsque les escrocs cherchent souvent à profiter de la confusion générale. En France, l’AMF et la CNIL peuvent être contactées si vous estimez que vos données personnelles ont été traitées de manière illicite.

Pour ceux qui détiennent des quantités significatives de cryptomonnaies et dont les données d’identification pourraient désormais être associées à leur patrimoine numérique, il vaut la peine d’adopter des précautions concrètes en matière de sécurité physique et numérique. Soyez plus attentif aux communications suspectes qui exploitent de vraies données personnelles pour paraître crédibles. Gardez à l’esprit que ce type d’informations, une fois divulguées, ne peut pas être «rappelé». Connaître les bonnes pratiques de conservation reste fondamental, comme nous l’expliquons dans notre guide sur comment protéger ses cryptomonnaies.

La leçon plus large

L’affaire Revolut, au-delà de cet épisode isolé, met en lumière une réalité inconfortable mais fondamentale: lorsqu’une identité réelle, vérifiée et documentée, est reliée ou rendue accessible à des tiers non autorisés avec un historique détaillé des avoirs en cryptomonnaies, le risque créé dépasse largement la préoccupation informatique traditionnelle. Cela devient un problème de sécurité personnelle et physique que le monde crypto connaît trop bien, venant s’ajouter aux inquiétudes habituelles liées aux hacks et aux vulnérabilités du code.

La leçon est double. D’un côté, cet incident démontre que les exigences d’identification des clients (KYC), indispensables pour la conformité réglementaire au sens du RGPD et des directives anti-blanchiment européennes, impliquent un compromis réel: plus les données identitaires collectées sont liées à l’activité financière d’une personne, plus le préjudice potentiel est élevé si ces données venaient à tomber entre de mauvaises mains. De l’autre côté, des incidents comme celui-ci, survenus à quelques jours d’intervalle contre des entreprises différentes du secteur, devraient inciter chaque opérateur financier, traditionnel ou crypto, à renforcer non seulement ses défenses techniques, mais surtout les processus humains par lesquels sont vérifiées les demandes semblant provenir d’autorités légitimes. La sécurité se révèle une fois de plus autant une affaire de personnes et de procédures que de code et de cryptographie.