Revolut : données clients transmises à des fraudeurs via un faux email gouvernemental

🔍Le mécanisme : un processus détourné, pas un piratage technique

Selon Revolut, aucun système n'a été « hacké ». Un tiers non autorisé a envoyé des demandes de données depuis un compte email opérant sur le vrai domaine d'un organisme gouvernemental — que ce soit un compte créé frauduleusement sur ce domaine ou un compte existant compromis, Revolut ne le précise pas. Les demandes ont passé les vérifications d'authenticité du domaine, et Revolut y a répondu comme à une requête légitime. C'est un détournement du processus de vérification, pas une intrusion dans les systèmes de la banque.

🎯Des clients ciblés, selon un chercheur — pas selon Revolut

ZachXBT, enquêteur indépendant spécialisé blockchain, qui a le premier rendu l'affaire publique, estime que l'incident « semble avoir visé des utilisateurs à patrimoine élevé  » — c'est son appréciation, pas une déclaration de Revolut. L'ancien PDG de Mt. Gox, Mark Karpelès, a confirmé publiquement avoir reçu la notification de Revolut, ce qui corrobore au moins un cas réel de client averti.

📡13-17 septembre : un groupe se nomme, réclame une rançon, la réduit — chronologie qui se confirme, mais toujours pas de déclaration Revolut sur ce volet

À partir du 13 septembre 2026, des documents présentés comme des données clients Revolut — passeports, cartes d'identité, selfies de vérification, dossiers KYC — commencent à circuler. Un groupe se faisant appeler « Revolut Smilik » revendique l'opération, ouvre son propre site de fuite et réclame initialement 10 000 Bitcoin (environ 780 millions de dollars), menaçant de publier davantage chaque jour. Le 16 septembre, le Financial Times rapporte que la demande a été réduite à environ 3 millions de dollars (6 000 XMR, une cryptomonnaie orientée confidentialité), avec un ultimatum de 24 heures avant la revente des dossiers à d'autres groupes criminels.

Ce qui a changé sur l'IBAN : à la différence du constat du 14 septembre, les données décrites dans les échantillons qui circulent depuis incluent désormais explicitement des IBAN, aux côtés des passeports, selfies et historiques de transactions Bitcoin.

Régulateurs : l'ICO (autorité britannique de protection des données) confirme avoir reçu un signalement et l'examiner ; la FCA (régulateur financier britannique) confirme être en contact avec Revolut. Ni l'un ni l'autre n'a publié de constat d'enquête à ce stade. Revolut elle-même n'a toujours fait aucune déclaration publique sur la revendication « Revolut Smilik », la demande de rançon ou sa réduction — l'ensemble de ce paragraphe repose sur des sources tierces (Financial Times, chercheurs suivant le site de fuite), pas sur une confirmation de l'entreprise.

🚫Ce dossier ne couvre PAS : les « 75 millions de comptes » de juillet 2026

Le 29 juillet 2026, une annonce sur un forum cybercriminel proposait une base de « 75 millions de comptes Revolut » pour environ 500 dollars. Revolut a démenti : « nous avons vérifié les identifiants utilisateurs et de carte contenus dans les prétendus enregistrements par rapport à nos systèmes, et aucun ne correspond à des identifiants Revolut valides ou authentiques ». Les chercheurs consultés jugent le prix incohérent avec l'ampleur annoncée et estiment que la base est probablement compilée à partir de sources non liées à Revolut. Cette annonce est une revendication non confirmée, distincte de l'incident de septembre documenté ici.

📁Un précédent distinct : l'incident de septembre 2022

Revolut a déjà connu un incident confirmé et distinct en septembre 2022 : une attaque par ingénierie sociale ayant exposé les données de 50 150 clients (dont 20 687 dans l'Espace économique européen), sans accès aux fonds. Le régulateur lituanien de protection des données (VDAI) avait ouvert une enquête. Ce chiffre de 2022 ne doit pas être appliqué à l'incident de 2026 documenté dans ce dossier — ce sont deux affaires séparées, à quatre ans d'écart.