Une adresse électronique gouvernementale authentique aura suffi à contourner les contrôles de Revolut. La fintech britannique a transmis des données personnelles et financières à des fraudeurs qui se faisaient passer pour des représentants officiels. Quelque 680 clients auraient été touchés. L’incident n’a pas compromis les systèmes internes ni les fonds déposés, affirme l’entreprise, mais il expose un risque plus délicat pour l’une des plus grandes fintechs européennes : celui d’une défaillance dans la vérification des requêtes externes au moment où son expansion bancaire internationale s’accélère.
Revolut : les données sensibles de 680 clients livrées à des fraudeurs
By
Published on 16 septembre 2026 7h29
80 millionsRevolut compte plus de 80 millions de clients dans le monde.
Revolut piégée par une requête frauduleuse visant les données de clients
Le 12 septembre 2026, Revolut a confirmé avoir communiqué des informations sensibles à un tiers non autorisé après avoir reçu des demandes frauduleuses provenant d’un domaine électronique appartenant à une agence gouvernementale légitime. L’entreprise présente l’affaire comme une usurpation externe sophistiquée plutôt que comme une intrusion dans son infrastructure informatique. Elle assure que les comptes et les fonds de ses clients n’ont pas été compromis.
Après une enquête initiale, Revolut aurait contacté 680 personnes susceptibles d’avoir été affectées. Passeports, coordonnées bancaires, adresses privées et autres éléments d’identification figurent parmi les informations qui ont pu être communiquées.
Le mode opératoire distingue cette affaire d’une cyberattaque classique. Les fraudeurs n’ont ni forcé une infrastructure informatique de Revolut ni pénétré ses serveurs. Ils ont exploité la confiance accordée à une adresse électronique relevant d’un véritable domaine gouvernemental. Un pirate avait obtenu l’accès à un véritable courriel gouvernemental avant de transmettre une demande frauduleuse concernant plusieurs clients. Revolut a répondu à cette requête et communiqué les informations sollicitées.
Le point faible se situe donc dans l’authentification de la demande elle-même. L’adresse paraissait légitime parce que son domaine l’était effectivement. Or, la provenance technique d’un message ne garantit pas que son expéditeur soit habilité à demander les données concernées. L’incident montre ainsi comment une procédure conçue pour répondre à des demandes officielles peut devenir une porte d’entrée lorsque l’identité et les pouvoirs du requérant ne sont pas validés par un canal indépendant.
Une fois le problème identifié, Revolut dit avoir immédiatement bloqué l’adresse utilisée. L’entreprise affirme également avoir alerté l’agence gouvernementale concernée, les forces de l’ordre, les autorités de protection des données et les régulateurs financiers. La fintech indique avoir contacté directement les clients concernés afin de les informer et de leur apporter une assistance.
Cette distinction entre compromission des systèmes et erreur de divulgation est importante. Revolut maintient que ses infrastructures et l’argent de ses clients sont restés intacts. Mais l’absence d’intrusion informatique ne réduit pas nécessairement la sensibilité de l’incident : des informations légalement conservées dans le cadre des obligations de connaissance du client ont tout de même quitté l’entreprise pour parvenir à une partie non autorisée.
Des données de clients particulièrement sensibles ont été exposées
La nature des informations concernées amplifie l’enjeu. Les notifications adressées aux personnes affectées font état de données d’identité et de contact comprenant notamment dates de naissance, adresses postales, adresses électroniques et numéros de téléphone, ainsi que des copies de passeports ou de permis de conduire. Des photographies utilisées pour la vérification de l’identité ont également pu être divulguées.
Le périmètre ne s’arrête pas aux documents d’identité. Des relevés de compte et historiques de transactions ont pu être transmis. Les informations communiquées comprenaient, selon les cas, des adresses, des images de vérification, des pièces d’identité et des données relatives à l’activité en bitcoin. Cette combinaison associe donc informations personnelles, éléments d’authentification et données financières.
Ce type de dossier peut alimenter des fraudes ultérieures, notamment lorsque les criminels disposent simultanément de documents officiels, de coordonnées de contact et d’un historique financier. Cette appréciation relève de l’analyse de cybersécurité de Malwarebytes et non d’une preuve qu’une seconde vague de fraude a déjà touché les clients concernés. L’entreprise de sécurité recommande notamment aux personnes averties par Revolut de surveiller leurs comptes et de se méfier de communications prétendant nécessiter une opération urgente de sécurisation.
Un autre risque est déjà plus concret. Les personnes se présentant comme responsables de l’incident menacent de publier les informations obtenues si Revolut ne verse pas une rançon. Aucun paiement de la fintech n’est établi par les sources consultées. Le dossier combine ainsi une fuite de données à une tentative présumée d’extorsion, sans qu’un montant de rançon suffisamment vérifié soit retenu ici.
Revolut joue aussi sa réputation auprès de ses clients
À l’échelle du groupe, les 680 personnes identifiées après l’enquête initiale représentent une fraction extrêmement réduite de la clientèle, mais le nombre brut ne suffit pas à mesurer l’enjeu. Revolut compte plus de 80 millions de clients dans le monde et vise à terme le seuil des 100 millions. L’entreprise est ainsi passée du statut de fintech de paiement à celui d’acteur bancaire international dont la croissance repose largement sur la confiance accordée à une plateforme numérique sans réseau d’agences comparable à celui des banques historiques.
La question intervient aussi dans une phase de forte valorisation. Une opération sur titres réalisée en juillet a valorisé Revolut à environ 99,6 milliards d’euros. Dans le même temps, la société prévoit d’engager environ 433 millions d’euros sur le marché américain sur une période comprise entre trois et cinq ans.
Les États-Unis constituent précisément l’un des axes de développement prioritaires de Revolut. La fintech a reçu début septembre 2026 une approbation conditionnelle pour exploiter une banque nationale américaine après avoir déposé sa demande de charte en mars 2026. Elle a également engagé des opérations bancaires importantes au Mexique en février 2026, les premières de cette ampleur hors d’Europe.
Dans ce contexte, l’incident ne se résume pas au coût immédiat d’une réponse informatique ou juridique. Il pose une question de contrôle interne au moment où Revolut cherche à convaincre régulateurs, clients et investisseurs de sa capacité à gérer une infrastructure financière mondiale. Aucun élément publié ne permet toutefois de chiffrer à ce stade un coût financier, une perte commerciale ou un impact sur sa valorisation. En l’absence de telles données, tirer une conséquence boursière ou économique directe serait prématuré.
Une requête officielle devenue un angle mort de la conformité
Le dossier a désormais une dimension réglementaire. Revolut a signalé elle-même l’incident à l’Information Commissioner’s Office, le régulateur britannique chargé de la protection des données, et celui-ci enquêtait sur l’affaire lundi, rapporte le Financial Times. La société a parallèlement notifié d’autres autorités de protection des données et régulateurs financiers.
Pour les établissements financiers, la difficulté mise en évidence est particulière. Répondre aux administrations et aux forces de l’ordre fait partie des mécanismes normaux de conformité. Mais cette coopération suppose que l’organisation puisse distinguer une requête légitime d’une demande transmise par un acteur ayant pris le contrôle d’un canal officiel. Ici, le domaine gouvernemental constituait précisément l’élément destiné à inspirer confiance.
Le cas de Mark Karpelès illustre également la sensibilité de cette frontière. L’ancien dirigeant de la plateforme d’échange de bitcoins Mt Gox fait partie des clients concernés. Après avoir été averti par Revolut, il a estimé que l’entreprise n’aurait pas dû transmettre ces informations sans davantage de vérifications, même lorsque la requête provenait d’une adresse gouvernementale authentifiée.
L’enjeu pour Revolut sera donc moins de démontrer que ses serveurs résistent à une intrusion que de montrer que ses procédures résistent à une identité officielle compromise. Dans un groupe servant plus de 80 millions de clients, l’automatisation et la rapidité de traitement constituent des atouts économiques majeurs. Mais l’affaire rappelle qu’un système de conformité doit aussi savoir ralentir une procédure lorsqu’une demande porte sur des passeports, des données bancaires, des photographies de vérification ou des historiques de transactions.