Voir la table des matières Ne plus voir la table des matières
Une demande d’informations arrive depuis l’adresse officielle d’une administration, avec le bon nom de domaine et une authentification valide. Dans la pratique bancaire, ce courrier porte un nom, la réquisition administrative, et il se traite sans discussion : l’établissement transmet ce qu’on lui demande, sous peine de se mettre en faute. Revolut a confirmé le 12 septembre 2026 avoir répondu à plusieurs demandes de ce type qui n’émanaient d’aucune administration. Les dossiers partis chez ce tiers inconnu contenaient des copies de passeport, des relevés de compte et des historiques de transactions, bitcoin compris.
La néobanque britannique revendique plus de 80 millions de clients et exerce comme banque dans plus de trente pays. Elle héberge aussi, pour une partie d’entre eux, un portefeuille crypto intégré à l’application. Un incident de cette nature ne relève donc pas seulement de la protection des données personnelles : il met en circulation la cartographie précise d’un patrimoine, avec un nom et une adresse en face. Que vaut vraiment la sécurité d’un compte quand ce n’est pas le compte qui est attaqué, mais le service client qui le protège ?
Ce que Revolut a transmis, et à qui
La notification envoyée aux clients concernés, que TechCrunch a pu consulter, détaille le contenu exact des dossiers communiqués. L’inventaire dépasse largement le simple fichier de contacts.
- L’identité complète : nom, date de naissance, profession, adresse postale, adresse électronique et numéro de téléphone ;
- Les pièces justificatives d’ouverture de compte, passeport ou permis de conduire, dans leur version scannée ;
- Les selfies de vérification exigés à l’inscription, ceux-là mêmes qui servent à prouver qu’un visage correspond à un document ;
- Les relevés de compte et les IBAN, avec le détail des retraits ;
- L’historique complet des transactions, y compris les mouvements en bitcoin.
Revolut affirme que ses systèmes et les fonds de ses clients n’ont pas été touchés, ce qui est exact au sens strict : aucun euro ni aucun satoshi n’a quitté un compte. La valeur volée ici n’est pas monétaire, elle est informationnelle, et elle ne s’annule pas en changeant un mot de passe. Un passeport scanné reste valable dix ans, une adresse de domicile aussi longtemps qu’on y habite.
Un domaine authentifié, et personne pour lever le doute
Le procédé n’a rien d’une prouesse technique. L’attaquant a obtenu l’accès à une boîte mail non autorisée hébergée sur le domaine réel d’une agence gouvernementale, puis a émis depuis cette adresse des demandes formellement irréprochables. Les contrôles automatiques ont validé le domaine, la signature et l’origine, parce que tout était authentique sauf l’expéditeur. Revolut n’a pas révélé de quelle administration il s’agissait, ni combien de clients ont été concernés, se limitant à parler d’un nombre limité.
Revolut a récemment identifié une escroquerie sophistiquée par usurpation d’identité, dans laquelle un tiers non autorisé a utilisé l’adresse mail d’un domaine gouvernemental légitime pour soumettre de fausses demandes d’informations.
Porte-parole de Revolut, déclaration transmise à TechCrunch le 12 septembre 2026
La faille se loge dans la procédure, pas dans le chiffrement. Une banque reçoit des réquisitions en permanence et doit y répondre vite : la friction que représente un appel de vérification auprès de l’administration émettrice se heurte à l’obligation légale de coopérer. L’authentification du domaine a été confondue avec l’authentification de l’auteur, et c’est précisément cette confusion que le scénario exploite. L’établissement dit avoir bloqué l’adresse concernée, prévenu les régulateurs, les forces de l’ordre et l’agence usurpée.
Des grosses fortunes visées, pas une pêche au hasard
L’affaire a été rendue publique dans la soirée du 11 septembre par l’enquêteur on-chain ZachXBT, qui a diffusé les courriers de notification reçus par des clients. Selon lui, les personnes visées étaient des clients à patrimoine élevé, ce qui change complètement la lecture de l’incident. Une fuite massive et indifférenciée se dilue dans le bruit ; une extraction ciblée de quelques dossiers fortunés produit une liste de cibles opérationnelle.
Ce mode opératoire s’inscrit dans une série que le secteur connaît bien. La brèche chez le prestataire d’emailing d’un fabricant de portefeuilles matériels a permis en septembre d’envoyer des messages frauduleux depuis des adresses parfaitement légitimes ; un mois plus tôt, la fuite d’un fichier clients Trezor avait exposé 13 689 adresses électroniques. La différence de nature saute aux yeux : on passait d’un contact à une identité complète assortie d’un solde.
Quand la donnée personnelle devient un risque physique
Le rapprochement entre un nom, une adresse de domicile et un historique de transactions crypto alimente un marché très concret. Les attaques physiques contre des détenteurs d’actifs numériques ont atteint 52 cas recensés dans le monde au premier semestre 2026, contre 39 sur la même période de 2025, pour environ 124 millions de dollars dérobés selon les relevés de Chainalysis. L’Europe concentre désormais plus de 40 % des incidents.
La France occupe une place peu enviable dans ce classement, avec une trentaine de faits rendus publics jusqu’au milieu de l’année, contre dix-neuf sur l’ensemble de 2025. Les intrusions à domicile sont passées d’un cas déclaré au premier semestre 2025 à vingt un an plus tard, et les enlèvements de douze à seize sur la même comparaison. Nous avions détaillé cette dérive à propos des séquestrations recensées sur le territoire français.
Ces agressions ne visent pas des inconnus tirés au sort. Elles supposent un travail de sélection préalable, qui repose sur des données de ce type exactement. Une base contenant selfie, domicile et volume de transactions constitue une matière première dont la valeur de revente dépasse de loin celle d’un simple carnet d’adresses.
Une néobanque en pleine conquête bancaire
Le calendrier tombe mal pour Revolut. Le régulateur bancaire américain lui a accordé le 3 septembre 2026 un agrément conditionnel pour ouvrir une banque nationale aux États-Unis, avec un lancement visé au premier semestre 2027. Le groupe prépare par ailleurs une introduction en bourse évoquée jusqu’à 200 milliards de dollars, après une valorisation privée de 75 milliards obtenue en novembre 2025.
L’établissement multiplie aussi les initiatives sur les actifs numériques, avec le stablecoin euro lancé fin août et le retrait de l’USDT pour ses utilisateurs européens. Chaque nouveau service ajoute une couche de données collectées au nom de la conformité réglementaire : plus un acteur se bancarise, plus il accumule de pièces d’identité, et plus la surface de la cible s’élargit sans que le client y puisse grand-chose.
Ce que coûte vraiment la donnée qu’on confie
L’épisode déplace une question qu’on préfère garder au second plan. La sécurité d’un patrimoine crypto se pense généralement en termes de clés privées, de portefeuille matériel et de phrase de récupération, là où le maillon fragile est parfois la boîte mail d’un service juridique. Aucune configuration de stockage, aussi rigoureuse soit-elle, ne compense une identité complète mise en circulation par un prestataire régulé.
La logique de diversification, familière à quiconque construit un patrimoine sur la durée, vaut aussi pour les contreparties. Répartir ses avoirs entre plusieurs établissements limite l’exposition financière, mais ne disperse pas les dossiers d’identité : chaque ouverture de compte les duplique. Le vrai arbitrage porte sur le nombre d’acteurs à qui l’on remet un passeport, un selfie et une adresse, et sur ce qu’on accepte de loger chez eux plutôt qu’en autoconservation.
Reste à savoir comment les régulateurs européens traiteront ce type d’incident, qui ne relève ni du piratage informatique ni de la négligence manifeste, mais d’une procédure légale détournée. La réponse qu’ils apporteront décidera si la charge de la vérification revient aux banques, aux administrations dont les domaines servent de passe-droit, ou aux clients qui n’ont jamais eu voix au chapitre.
