Revolut confirme une fuite de données via un faux gouvernement

Revolut a confirmé le 12 septembre 2026 avoir transmis des données personnelles sensibles à un tiers non autorisé, qui s'était fait passer pour une agence gouvernementale. L'affaire a été révélée par l'enquêteur blockchain ZachXBT, et confirmée depuis par plusieurs médias spécialisés dont Cryptoast.

Comment la fraude a contourné les contrôles de Revolut

Selon Security Affairs, l'attaquant a utilisé un compte non autorisé, créé ou compromis, au sein du nom de domaine e-mail officiel d'une agence gouvernementale. Ce détail technique a suffi à faire passer la requête frauduleuse à travers les contrôles d'authentification e-mail habituels de Revolut, qui l'a donc traitée comme une demande légitime.

D'après TechCrunch, Revolut n'a réalisé la supercherie qu'après coup, en recontactant l'agence en question, qui a nié avoir jamais émis cette demande. L'adresse e-mail utilisée par le fraudeur a depuis été bloquée. La néobanque n'a pas précisé quel pays ni quelle administration avaient été usurpés, ni communiqué de chiffre exact sur le nombre de clients concernés, se contentant de parler d'un nombre « limité » de comptes touchés.

Quelles données ont fuité

Les informations transmises au fraudeur couvrent une large partie du dossier de vérification d'identité classique chez Revolut : copies de passeport ou de permis de conduire, selfies de vérification, mais aussi des données financières bien plus sensibles. Selon Decrypt, cela inclut les relevés de compte, les IBAN, l'historique des retraits et l'intégralité de l'historique des transactions, y compris l'activité en Bitcoin. S'y ajoutent le nom complet, la date de naissance, la profession, l'adresse postale, l'e-mail et le numéro de téléphone.

TechCrunch et CoinDesk indiquent que les personnes visées semblent avoir été sélectionnées parmi des clients fortunés (« high-net-worth »), ce qui suggère un ciblage délibéré plutôt qu'une fuite aléatoire. Revolut assure en revanche que les fonds des clients concernés sont restés en sécurité : aucune perte financière directe n'a été signalée à ce stade.

Le risque concret des « wrench attacks »

La combinaison identité complète, adresse postale et preuve d'activité Bitcoin est précisément le profil de données recherché pour les « wrench attacks », ces agressions physiques visant à extorquer des cryptoactifs à leurs détenteurs. Selon les chiffres de CertiK relayés par CoinDesk, 52 wrench attacks ont été recensées dans le monde au premier semestre 2026, dont 33 en France — ce qui fait de la France le pays le plus touché sur la période.

Cela ne signifie pas que chaque client concerné par cette fuite sera visé, mais le rapprochement entre les données exposées et ce type de menace justifie une vigilance renforcée pour toute personne détenant des cryptoactifs visibles via Revolut.

Que faire maintenant

Si vous êtes client Revolut et que vous détenez des cryptoactifs sur la plateforme, il est raisonnable de vérifier vos notifications de sécurité dans l'application, de rester attentif à toute sollicitation inhabituelle (appel, e-mail, visite) faisant référence à vos avoirs, et d'éviter d'exposer publiquement le montant de vos positions crypto. Revolut n'ayant pas communiqué la liste des comptes affectés ni de calendrier de notification individuelle, le plus sûr reste de vérifier directement dans l'application les alertes de sécurité et les conditions à jour, plutôt que de se fier uniquement aux communiqués publics.

Revolut n'a pas précisé publiquement le pays ni l'agence gouvernementale usurpés dans cette affaire.

Ouvrir un compte Revolut