Histoire
septembre 16, 2026
L’arnaque aux e-mails gouvernementaux visant Revolut a mis en danger les données de près de 700 clients
Cet épisode met en lumière une vulnérabilité des canaux de confiance utilisés pour les demandes officielles de données : Revolut souligne que la fraude était une usurpation externe et que ses systèmes centraux sont restés intacts, tandis que les clients concernés font face aux conséquences de la divulgation de dossiers personnels hautement sensibles.
Revolut a reconnu que des escrocs ont obtenu des informations sur des clients en se faisant passer pour des représentants du gouvernement — une faille qui aurait concerné près de 700 personnes.1
La tromperie ne reposait pas sur une intrusion dans l’infrastructure de la fintech, mais sur la crédibilité. Des demandes frauduleuses d’informations provenaient d’un domaine d’e-mail appartenant à une agence gouvernementale légitime, permettant à un tiers non autorisé de paraître officiel. Revolut a décrit l’affaire comme une « arnaque sophistiquée d’usurpation d’identité externe », dans laquelle l’attaquant a utilisé ce domaine légitime pour soumettre de fausses demandes.2
Les informations transmises pouvaient être considérables : données d’identité et coordonnées, dates de naissance, adresses postales et électroniques, numéros de téléphone, ainsi que des copies de passeports ou de permis de conduire. La notification de Revolut aux clients concernés indiquait également que des selfies de vérification, relevés de compte et historiques de transactions pouvaient avoir été inclus.
Après avoir identifié le stratagème, l’entreprise a indiqué avoir bloqué l’adresse e-mail, contacté les clients concernés et alerté l’agence compétente, les forces de l’ordre et les autorités de régulation. Elle n’a pas publiquement nommé l’agence, précisé si un marché particulier avait été ciblé, ni fourni son propre décompte exact des personnes concernées.
La défense centrale de Revolut est que l’incident relevait de l’abus d’un canal externe de confiance, et non d’une compromission de sa plateforme : « Les systèmes de Revolut et les fonds des clients ne sont pas affectés. » Cette distinction peut rassurer ses plus de 80 millions de clients, mais elle atténue peu l’exposition de ceux dont les documents d’identité et les dossiers financiers pourraient désormais être entre les mains de criminels.
Cette divulgation intervient alors que la fintech basée à Londres se développe à l’international et cherche à élargir son empreinte bancaire, remettant l’accent sur la manière dont les entreprises vérifient les demandes apparemment officielles de données clients.