Revolut : après la fuite de données, une vague de phishing

Revolut a confirmé le 12 septembre 2026 avoir transmis, sans le savoir, des données de clients à des escrocs. Ces derniers avaient usurpé l'adresse e-mail d'une agence gouvernementale légitime pour envoyer de fausses demandes d'information, une technique qui a suffi à contourner les vérifications internes de la néobanque, selon TechCrunch. Depuis, une campagne de phishing par SMS cible directement les clients concernés.

Qui est touché, et pourquoi eux

Environ 680 clients Revolut ont été affectés dans plusieurs pays européens, dont plus de 100 en France, parmi lesquels le footballeur Georges Mikautadze, selon les informations recoupées par FrenchBreaches. Le point commun entre les victimes n'est pas anodin : les fraudeurs ont ciblé en priorité les détenteurs d'importants portefeuilles de cryptoactifs, un profil de clientèle particulièrement rentable pour des escrocs cherchant à provoquer un transfert de fonds.

Ce que contenaient les données volées

Les informations exposées sont particulièrement complètes : nom, date de naissance, adresse postale, numéro de téléphone, copie de passeport ou de permis de conduire, selfie de vérification d'identité, IBAN, relevés de compte et historique de transactions, y compris en cryptomonnaies, détaille Help Net Security. C'est cette combinaison identité + données bancaires + historique qui rend les tentatives d'arnaque qui suivent beaucoup plus crédibles que du phishing classique.

Une vague de SMS frauduleux déjà en cours

Dans les jours qui ont suivi la fuite, une campagne de phishing par SMS a visé les clients concernés. Selon Comment Ça Marche, ces messages usurpent l'identifiant d'expéditeur (une technique dite de « sender ID spoofing ») et s'affichent ainsi dans la même conversation que les vrais SMS envoyés par Revolut sur le téléphone de la victime. Concrètement, un faux message d'alerte peut apparaître juste après un SMS authentique de vérification, sans qu'aucun indice visuel ne permette de les distinguer.

C'est là que les données volées deviennent une arme : un faux conseiller qui connaît déjà le nom, l'IBAN et l'historique de transactions d'un client peut se montrer très convaincant au téléphone ou par SMS pour le pousser à valider un virement ou à communiquer un code de sécurité.

Ce qu'il faut faire maintenant

Revolut affirme que les fonds des clients ne sont pas menacés et que l'incident ne provient pas d'une intrusion dans ses systèmes informatiques, mais d'un abus de la procédure de réponse aux réquisitions judiciaires et administratives. Cela ne change rien au risque côté utilisateur dans les semaines qui viennent :

• Ne jamais valider une opération, un code ou un virement à la demande d'un contact non sollicité, même s'il connaît des détails exacts sur le compte.
• Vérifier toute alerte ou demande directement dans l'application Revolut, jamais via le lien ou le numéro reçu par SMS.
• Se méfier en particulier des SMS qui semblent s'insérer dans une conversation existante avec Revolut : l'apparence n'est plus une garantie.

Les clients qui pensent avoir été ciblés, en particulier les détenteurs de portefeuilles crypto importants, ont intérêt à surveiller leurs comptes de près dans les prochaines semaines et à vérifier les conditions et alertes de sécurité à jour directement dans l'application.

Ouvrir un compte Revolut