Revolut confirme une fuite de données après une usurpation

Revolut a confirmé le 12 septembre 2026 avoir transmis des données de clients à un escroc qui s'était fait passer pour une agence gouvernementale. Selon TechCrunch, l'attaque ne repose sur aucune faille technique des serveurs de la néobanque : c'est une demande frauduleuse, envoyée depuis un domaine e-mail officiel usurpé, qui a suffi à obtenir des informations sensibles. L'affaire touche des clients dans plusieurs pays, dont une dizaine en Belgique selon La Libre, et relance la question de la sécurité des échanges entre une néobanque et les administrations qui la sollicitent légitimement.

Une usurpation d'identité administrative très convaincante

D'après Le Vif, l'escroc s'est présenté comme une agence gouvernementale et a utilisé un domaine e-mail dont les protocoles d'authentification SPF, DKIM et DMARC étaient validés, ce qui a permis à la demande de paraître légitime aux yeux des équipes de Revolut. Ces trois protocoles sont censés garantir qu'un e-mail provient bien du domaine qu'il prétend représenter : leur contournement reste un vecteur d'attaque connu en cybersécurité, mais rarement documenté avec autant de précision dans le secteur bancaire. Revolut indique avoir bloqué l'adresse frauduleuse dès la découverte de l'incident et avoir alerté l'agence usurpée, les forces de l'ordre ainsi que les régulateurs financiers concernés, selon Help Net Security.

Quelles données ont fuité

Les informations transmises par erreur couvrent une bonne partie du dossier client type d'une néobanque : date de naissance, adresse postale, e-mail, numéro de téléphone, copies de pièces d'identité (passeport, permis de conduire), selfies de vérification KYC, IBAN et historique complet des transactions. Pour certains clients, cet historique inclut aussi des opérations en cryptomonnaies, dont du Bitcoin, précise Presse-citron.

Revolut insiste sur le fait que ses systèmes internes, l'application et les fonds des clients n'ont pas été compromis : il s'agit d'une transmission de données consécutive à une usurpation d'identité, pas d'un piratage. Cette distinction ne change toutefois rien pour les personnes dont les pièces d'identité et l'IBAN circulent désormais entre de mauvaises mains, avec un risque accru d'usurpation d'identité ou de tentatives de phishing ciblées.

Combien de clients réellement touchés

Les chiffres restent flous. Revolut ne communique qu'un nombre « limité » de clients affectés, sans donner de total officiel. La Libre avance le chiffre de 680 clients dans le monde, dont seulement une dizaine en Belgique sur près d'un million de clients Revolut dans le pays. Parmi les personnes identifiées par la presse figurent le joueur de tennis Alexander Shevchenko et Felix Römer, dirigeant des sociétés Gamdom et Skinscom. Cet écart entre la communication très mesurée de Revolut et les chiffres relayés par la presse belge illustre une nouvelle fois la difficulté d'obtenir une transparence complète de la part des néobanques lors d'un incident de ce type.

Et pour les clients français ?

Aucune source ne mentionne à ce stade de clients français explicitement concernés par cette fuite. Si vous êtes client Revolut en France et que vous recevez une notification de la néobanque à ce sujet, ou si vous constatez une activité suspecte sur votre compte, vous pouvez saisir la CNIL au titre du RGPD en cas de violation de données personnelles impliquant vos informations. Dans tous les cas, restez vigilant face à tout contact inhabituel se présentant comme émanant de Revolut ou d'une administration dans les semaines qui viennent : c'est précisément ce type d'usurpation qui est à l'origine de cette fuite.

Comme toujours en matière de sécurité et de traitement de vos données personnelles, vérifiez les informations à jour directement dans votre application Revolut et surveillez vos notifications officielles avant de réagir à un message qui vous semblerait inhabituel.

Ouvrir un compte Revolut