Oublie l’image du hacker en sweat à capuche qui tape frénétiquement sur un terminal pour casser des lignes de code. Chez Revolut, la néobanque britannique qui revendique plus de 80 millions d’utilisateurs dont 8 millions en France, la porte d’entrée était grande ouverte. Les attaquants n’ont forcé aucun serveur, n’ont injecté aucun virus et n’ont volé aucun identifiant de connexion.
En réalité, ils ont simplement demandé les dossiers en se faisant passer pour la police. Entre le 11 et le 12 septembre 2026, l’établissement financier a répondu favorablement à de fausses réquisitions d’urgence, livrant des informations confidentielles à un cybercriminel sans vérifier l’habilitation humaine de l’expéditeur.
Révélée par le lanceur d’alerte ZachXBT et confirmée par l’entreprise, cette brèche touche un cercle restreint d’utilisateurs, notamment des profils fortunés en France et en Belgique. Les données parties dans la nature donnent le vertige :
- Copies intégrales de passeports et permis de conduire.
- Selfies officiels enregistrés lors de la vérification d’identité KYC.
- Coordonnées complètes avec adresses postales, numéros et fiches de paie.
- Relevés de compte et IBAN détaillant les soldes et dates de retraits.
- Historique complet des transactions, incluant chaque transfert Bitcoin.
Le piège redoutable de la fausse demande d’urgence
Pour réussir ce coup de maître, le fraudeur a exploité une faille organisationnelle bien connue : l’emergency data request. Cette procédure oblige légalement les plateformes financières à transmettre des dossiers en un temps record lorsqu’une autorité judiciaire ou policière invoque une urgence vitale.
Or, le pirate s’est connecté directement depuis une adresse e-mail rattachée au nom de domaine officiel d’un organisme public. Par conséquent, les filtres techniques stricts comme SPF, DKIM ou DMARC ont tous validé le message en vert. Les équipes internes de conformité ont cru collaborer avec des agents de l’État et ont expédié les documents demandés.
« Il s’agit d’une escroquerie sophistiquée par usurpation d’identité menée par un acteur externe non autorisé depuis une adresse légitime d’agence gouvernementale. » — Porte-parole de Revolut
Cependant, l’administration dont le domaine a été infiltré demeure inconnue à ce stade. Revolut assure avoir immédiatement coupé les ponts avec l’adresse compromise et alerté les régulateurs européens, affirmant que les soldes des comptes restent parfaitement intacts.
Pourquoi l’historique Bitcoin change radicalement la donne
Si voir son numéro de téléphone ou son IBAN fuiter s’avère particulièrement pénible, la fuite de l’activité blockchain pose un problème de sécurité physique immédiat. En effet, une adresse postale se déménage et une pièce d’identité se renouvelle en préfecture, mais les transactions Bitcoin restent gravées à vie dans un registre public et immuable.
Grâce aux montants exacts et aux horodatages fournis par Revolut, n’importe quel observateur malveillant peut réaliser une analyse en grappes. Cette technique permet de relier tous les portefeuilles anonymes d’un internaute à sa véritable identité. En croisant un solde crypto imposant avec une photo de visage et une adresse physique, les criminels disposent d’un répertoire clé en main.
Dans l’écosystème crypto, ces recoupements ont déjà conduit par le passé à des tentatives d’extorsion ciblées, du chantage à domicile voire des agressions violentes. Le danger quitte brusquement l’écran de smartphone pour frapper directement à ta porte d’entrée.
Changer de mot de passe ne te servira à rien
Inutile de paniquer en réinitialisant ton code secret d’application : les assaillants n’ont jamais mis la main sur tes identifiants de sécurité. Changer tes clés ne te protégera donc pas d’un dossier d’identité déjà téléchargé par des inconnus. En revanche, il faut impérativement te préparer à la seconde vague d’arnaques qui arrive.
Dans les semaines à venir, des faux conseillers bancaires vont te téléphoner en citant précisément ton dernier virement, ton adresse exacte et ta date de naissance pour endormir ta vigilance. La règle d’or devient absolue : ne valide aucun retrait sous la pression d’un appel et effectue toutes tes vérifications uniquement au sein de la messagerie officielle de l’application.
Pour avoir le cœur net sur ton exposition, dépose sans attendre une demande d’accès écrite au titre de l’article 15 du RGPD auprès de la néobanque. Cette démarche force légalement Revolut à t’indiquer si tes documents faisaient partie du lot expédié à l’escroc avant que tu ne découvres la mauvaise surprise par toi-même.
