Revolut : fuite de données via un faux e-mail officiel

Revolut a confirmé le 12 septembre 2026 avoir transmis des données personnelles sensibles de clients à un fraudeur qui s'était fait passer pour une agence gouvernementale par e-mail, selon TechCrunch. Des clients belges ont reçu un e-mail de notification de la néobanque vendredi 11 septembre, comme le rapporte BruxellesToday. Aucun piratage technique n'est en cause : Revolut parle d'un cas d'ingénierie sociale, une demande frauduleuse imitant une requête officielle.

Quelles données ont été exposées

Les documents transmis au fraudeur couvrent l'essentiel du dossier de vérification d'identité (KYC) des clients concernés : copies de passeport ou de permis de conduire, selfies utilisés pour la vérification, relevés de compte et historiques complets de transactions, y compris en Bitcoin selon Journal du Coin. S'y ajoutent le nom, la date de naissance, l'adresse postale, l'e-mail et le numéro de téléphone. Revolut indique en revanche que les fonds des clients et les identifiants de connexion n'ont pas été compromis, ses propres systèmes n'ayant pas été piratés.

Comment le fraudeur a procédé

Selon le chercheur blockchain ZachXBT, à l'origine de l'alerte reprise par TechCrunch, l'attaquant a usurpé l'adresse e-mail d'une agence gouvernementale pour adresser à Revolut une demande de données qui a semblé légitime aux équipes internes. Revolut affirme avoir depuis bloqué l'adresse e-mail frauduleuse, alerté l'agence dont l'identité a été usurpée et informé les régulateurs compétents. La néobanque n'a pas communiqué le nombre total de clients affectés, ni en Belgique ni en France.

Des clients fortunés semblent ciblés

D'après ZachXBT, l'attaque paraît avoir visé en priorité des clients disposant de patrimoines importants. Il cite notamment le fondateur de la plateforme Mt. Gox, Mark Karpelès, et le développeur français spécialisé en finance décentralisée Marc Zeller parmi les personnes concernées, une information reprise par Cryptoast. L'incident survient quelques semaines après l'obtention par Revolut de sa licence bancaire complète en France, en août 2026, un contexte qui accroît la visibilité de l'affaire.

Ce que cela change pour vous

Si vos documents d'identité et votre historique bancaire ont été exposés, vous devenez une cible plus facile pour du phishing ciblé ou des tentatives d'extorsion se faisant passer pour Revolut, une administration ou les forces de l'ordre. La règle reste la même : Revolut ne vous demandera jamais vos identifiants ou codes de sécurité par e-mail ou par téléphone. En cas de doute sur un message reçu, contactez directement Revolut via l'application plutôt que de répondre au message. Les clients français concernés peuvent, au titre du RGPD, saisir la CNIL, comme le rappelle La Libre.

Ouvrir un compte Revolut

Vérifiez aussi dans l'application Revolut si vous avez reçu une notification officielle liée à cet incident, et tenez vos coordonnées à jour pour recevoir toute communication de sécurité.