Revolut : cette fuite de données qui relie votre identité à vos Bitcoins et vous transforme en cible parfaite

Un faux e-mail d’agence gouvernementale, envoyé depuis une adresse qui paraissait parfaitement légitime, a suffi à piéger Revolut. Sans piratage de serveurs ni virus, des données sensibles de clients fortunés ont quitté la néobanque pour atterrir entre les mains d’acteurs encore inconnus.

Entre le 11 et le 12 septembre, une demande présentée comme officielle est arrivée dans les boîtes des équipes de conformité, avec tous les marqueurs d’une réquisition d’État. Revolut y a répondu en toute bonne foi, avant de découvrir que l’agence censée être à l’origine du message n’avait en réalité rien demandé. Les informations transmises, elles, l’ont bien été. Et derrière ce simple échange d’e-mails, c’est le lien direct entre identité réelle et activité Bitcoin qui inquiète.

Fuite de données Revolut : comment un faux e-mail gouvernemental a passé tous les contrôles

Dans le jargon de la cybersécurité, on parle d’ingénierie sociale lorsque l’attaquant vise d’abord la confiance humaine plutôt qu’un pare-feu ou un mot de passe. Il se fait passer pour une autorité légitime, un support client ou, comme ici, pour une agence gouvernementale, afin d’amener la cible à lui livrer elle-même les accès ou les données recherchées. Dans le cas Revolut, l’assaillant disposait d’un accès à une boîte mail non autorisée mais hébergée à l’intérieur du véritable domaine de messagerie d’une administration publique, ce qui rendait la demande indiscernable d’une réquisition classique pour les équipes de conformité.

Sur le plan purement technique, l’e-mail frauduleux respectait toutes les règles : le serveur expéditeur était autorisé par le protocole SPF, la signature DKIM validait l’intégrité du contenu et DMARC confirmait l’ensemble. Autrement dit, le message venait bien de l’intérieur du domaine gouvernemental, même si le compte utilisé n’était pas autorisé. Revolut n’a découvert l’escroquerie qu’après avoir recontacté l’administration concernée, qui a démenti être à l’origine de la demande. L’entreprise a alors bloqué l’adresse compromise, averti l’agence, la police et les régulateurs, en affirmant que ses systèmes et les fonds des clients n’avaient pas été touchés et que le nombre de personnes concernées restait limité. « Une escroquerie sophistiquée par usurpation externe », a résumé Revolut auprès de TechCrunch. Le chercheur ZachXBT, à l’origine de la diffusion de la notification envoyée aux clients, estime pourtant que les victimes appartiennent surtout à la clientèle la plus aisée, parmi lesquelles l’ancien patron de Mt. Gox Mark Karpelès ou encore Marc Zeller, fondateur de l’Aave Chan Initiative.

Identité, adresses Bitcoin et KYC : quels risques pour les clients concernés

Dans une notice adressée aux personnes touchées, Revolut détaille d’abord le mécanisme de la fuite et les catégories de données exposées :

« Ce qui s’est passé ?
Revolut a reçu une demande d’informations clients qui semblait provenir d’une agence gouvernementale légitime. La demande émanait d’un compte e-mail non autorisé, envoyée directement depuis le domaine e-mail officiel de l’agence gouvernementale.
Comme la communication portait des identifiants d’authentification de domaine valides, elle a été traitée en toute bonne foi, dans la conviction raisonnable qu’il s’agissait d’une demande authentique émanant d’une agence gouvernementale.

Détails d’identité : nom complet, date de naissance, profession
Coordonnées : adresse postale, adresse e-mail et numéro de téléphone
Documents et données de vérification : une copie du document d’identité (passeport et/ou permis de conduire) et l’image de vérification faciale (le selfie fourni pour la vérification). À noter qu’aucune donnée de télémétrie faciale biométrique n’a été impliquée ni compromise
Données financières : relevés de compte (dont IBAN, statut du compte, date d’ouverture, numéro de référence du wallet), historiques de retraits et historique complet des transactions (y compris Bitcoin). »

Autrement dit, le faux e-mail a ouvert l’intégralité du dossier KYC de certains clients, avec document d’identité, selfie, relevés de compte, IBAN et historique complet des transactions, y compris Bitcoin. Mark Karpelès a confirmé que ses propres opérations figuraient dans le lot, et Marc Zeller a résumé la situation sur X en une formule amère : « Réveil difficile, toutes mes données ont fuité chez Revolut. Un rappel cinglant que le KYC n’a jamais produit le moindre bénéfice tangible, et qu’il a mis beaucoup de monde en danger. » Une adress postale, une identité vérifiée et un historique Bitcoin avéré forment ensemble un profil extrêmement exploitable pour des campagnes d’extorsion ou de phishing ciblé.

En France, le risque ne reste pas théorique : le ministre de l’Intérieur Laurent Nuñez a évoqué 77 enlèvements et extorsions liés aux cryptoactifs depuis janvier 2026, contre 45 sur toute l’année 2025, et près de 200 interpellations. Des séquestrations, parfois assorties de violences graves, ont déjà visé des détenteurs identifiés de cryptomonnaies, souvent à partir de données issues de fuites comme celle du fabricant de hardware wallets Ledger en 2020. L’épisode Revolut s’inscrit aussi dans une série plus large d’incidents, à l’image de la vente de données de 70 000 clients par des agents de support sous-traitants de Coinbase en 2025, qui avait débouché sur une tentative d’extorsion de 20 millions de dollars et une facture totale de plus de 400 millions de dollars pour la plateforme.

Les spécialistes de l’ingénierie sociale rappellent que ces opérations reposent ensuite sur de faux supports clients, de fausses autorités ou de fausses plateformes d’échange qui contactent directement les victimes en utilisant des informations exactes pour gagner leur confiance. Dans ce contexte, l’association durable entre identité, coordonnées et historique Bitcoin que révèle la fuite chez Revolut nourrit un vivier de cibles de choix. Pour les clients français concernés, une option concrète existe : saisir directement la CNIL au titre du RGPD en cas de violation de données personnelles, indépendamment des démarches déjà engagées par la néobanque auprès des autorités financières.