Revolut a transmis des données clients à de faux agents

Revolut a confirmé le 12 septembre 2026 avoir transmis les dossiers d'un nombre "limité" de clients à des fraudeurs se faisant passer pour une agence gouvernementale. Il ne s'agit pas d'un piratage informatique classique : la demande frauduleuse est passée par une véritable adresse e-mail administrative, usurpée, ce qui a suffi à passer les contrôles d'authentification habituels de la néobanque, selon TechCrunch et Clubic.

Une usurpation d'identité administrative, pas un piratage

Le scénario décrit par Revolut est celui d'une ingénierie sociale réussie plutôt que d'une intrusion dans ses systèmes : des escrocs ont envoyé une réquisition depuis un domaine e-mail officiel compromis, imitant une demande légale d'une administration. Les équipes internes ont traité la demande comme authentique et transmis les documents réclamés. Revolut affirme que ses systèmes n'ont pas été compromis et que les fonds des clients n'ont pas été touchés. La néobanque dit avoir depuis bloqué l'adresse frauduleuse, alerté l'administration usurpée, la police ainsi que les régulateurs compétents (TechCrunch, Yahoo Finance).

Quelles données ont pu fuiter

Les documents transmis peuvent inclure, selon les clients concernés, l'identité et les coordonnées (nom, date de naissance, profession, adresse postale, e-mail, téléphone), des copies de pièces d'identité (passeport, permis de conduire), le selfie de vérification pris à l'ouverture du compte, ainsi que des données financières : IBAN, relevés de compte, historique des retraits et historique complet des transactions, y compris en Bitcoin. Toutes les catégories ne concernent pas systématiquement chaque personne touchée (CoinDesk). Revolut précise en revanche qu'aucune donnée de reconnaissance faciale ("facial telemetry") n'a été compromise, même si les photos de selfie elles-mêmes en font partie du lot transmis.

Un ciblage restreint, pas une fuite de masse

Revolut parle d'un nombre "limité" de clients, sans donner de chiffre précis, et plusieurs médias évoquent un ciblage plutôt orienté vers des comptes à hauts revenus qu'une fuite généralisée. Les personnes concernées ont commencé à recevoir une notification individuelle par e-mail à partir du vendredi 11 septembre 2026, sans qu'une liste de pays touchés n'ait été communiquée à ce stade (Clubic).

Aucune confirmation officielle n'indique à ce jour si des clients français figurent parmi les personnes notifiées.

Que faire maintenant

Le signal à surveiller n'est pas une alerte générale, mais une notification directe de Revolut envoyée à l'adresse e-mail associée au compte. En l'absence d'un tel message, rien n'indique à ce stade qu'un compte soit concerné. Cet épisode reste néanmoins l'occasion de vérifier l'historique des connexions dans l'application, de s'assurer que l'authentification à deux facteurs est bien active, et de rester méfiant face à tout e-mail ou appel se présentant comme "officiel" et réclamant des copies de pièces d'identité ou des relevés de compte.

Aucune administration légitime ne demande l'envoi de documents financiers ou d'identité par simple e-mail sans passer par les canaux officiels de la banque.

Ouvrir un compte Revolut

Comme toujours en matière de sécurité des comptes, vérifiez les informations et les paramètres à jour directement dans l'application Revolut plutôt que sur la seule base de cet article.