Actualités
Revolut victime d'une fuite de données clients, rançon exigée
Revolut confirme une fuite de données clients (KYC, IBAN, historique crypto) après une fausse réquisition administrative. Les pirates réclament une rançon.
Revolut a confirmé le 12 septembre 2026 avoir transmis des données sensibles de clients à des pirates informatiques, non pas à la suite d'un piratage technique de ses serveurs, mais après avoir répondu à de fausses réquisitions judiciaires. Les assaillants ont depuis commencé à publier une partie de ces données et réclament une rançon à la néobanque, sous peine de nouvelles publications quotidiennes.
Comment la fuite s'est produite
Selon French Breaches, les pirates ont utilisé une adresse email hébergée sur le vrai nom de domaine d'une administration publique pour adresser de fausses demandes de données à Revolut. Ces messages ont passé les contrôles de sécurité email habituels (SPF, DKIM, DMARC), ce qui les a rendus indiscernables d'une réquisition légitime. Security Affairs confirme qu'il s'agit d'une attaque d'ingénierie sociale visant une procédure interne, et non d'une intrusion dans les systèmes informatiques de la banque.
Quelles données sont concernées
Les informations exposées touchent au cœur de l'identité et des finances des clients visés : copies de passeport ou de permis de conduire, selfies utilisés pour la vérification d'identité (KYC), relevés de compte, IBAN et historique complet des transactions, y compris l'activité en Bitcoin. S'y ajoutent des données personnelles comme le nom, la date de naissance, la profession, l'adresse postale, l'email et le numéro de téléphone.
Sur l'ampleur réelle de la fuite, les versions divergent. Revolut évoque un nombre « limité » de clients concernés, tandis que Journal du Coin avance le chiffre de plus de 15 000 fichiers individuels.
Les pirates ont commencé à diffuser des données appartenant, entre autres, au joueur de tennis Shevchenko et au dirigeant de Gamdom/Skinscom Römer, d'après les éléments recueillis par French Breaches. Cette mise en avant de profils identifiables sert de démonstration de force dans leur tentative d'extorsion.
Ce que répond Revolut
La néobanque assure que ses systèmes internes n'ont pas été compromis et que les fonds des clients restent en sécurité, l'incident relevant selon elle d'une faille de procédure face à une usurpation d'identité administrative plutôt que d'un piratage technique. Cryptoast rapporte que Revolut dit avoir bloqué la source frauduleuse, alerté les autorités compétentes et contacté directement les clients dont les données ont été touchées.
Ce que ça change pour vous si vous êtes client
Même sans intrusion technique dans les serveurs de Revolut, la nature des données exposées (documents d'identité, IBAN, historique financier et crypto) constitue un matériau de choix pour des campagnes de phishing très ciblées. CNEWS recommande une vigilance accrue face à tout email, SMS ou appel se présentant comme émanant de Revolut ou d'une administration et demandant de confirmer des informations personnelles, un code de sécurité ou un virement.
Concrètement : ne cliquez sur aucun lien reçu par email ou SMS se réclamant de Revolut, vérifiez toute communication directement depuis l'application officielle, et activez si ce n'est pas déjà fait l'authentification à deux facteurs sur votre compte. Si vous recevez une notification de Revolut vous signalant un impact direct sur votre compte, traitez-la comme prioritaire. En cas de doute sur un message reçu, passez par le support officiel dans l'app plutôt que par les coordonnées indiquées dans l'email suspect.
Cet article s'appuie sur les communications de Revolut et les informations publiées par French Breaches, CNEWS, Journal du Coin, Security Affairs et Cryptoast au 13 et 14 septembre 2026. La situation pouvant évoluer, vérifiez les dernières informations directement dans votre application Revolut.
