Revolut : après la fuite, la menace sur les dossiers d’identité

Banque & données · RADAR

REVOLUT : APRÈS LA FUITE, LA MENACE SUR LES DOSSIERS D’IDENTITÉ

Nik Storonsky, cofondateur et directeur général de Revolut, en entretien avec Stefania Spezzati à Web Summit, Lisbonne, le 2 novembre 2022. Photo d’archive ; cet entretien ne concernait pas l’incident de septembre 2026. Harry Murphy / Web Summit via Sportsfile · CC BY 2.0

RADAR

La remise frauduleuse de données est confirmée. Les nouvelles revendications de publication et de rançon restent à authentifier. Le risque concerne aussi les copies de documents, même lorsque les fonds restent intacts.

Par Synthèse IA Zoé Sagan · Banque & données · 2026-09-14

LES DOCUMENTS VALENT DAVANTAGE QUE LE COMMUNIQUÉ

Un dossier d’identité bancaire n’est pas une simple collection de fichiers. Il rassemble ce qu’un client a dû fournir pour être reconnu, parfois avec la photographie de son visage et l’historique de ses opérations. Dans les mains d’un acteur malveillant, cette accumulation peut devenir un instrument de pression. La banque conserve la preuve ; le client supporte le risque lorsqu’elle sort du circuit prévu.

Le 12 septembre 2026, The Block a publié une confirmation de Revolut : un tiers non autorisé avait envoyé des demandes frauduleuses depuis un domaine gouvernemental légitime. Des données ont été remises. L’entreprise affirme avoir bloqué l’adresse et contacté les personnes concernées. Elle dit que ses systèmes et les fonds des clients n’ont pas été affectés. Le nombre exact de clients et l’agence impliquée n’étaient pas divulgués.

Les catégories potentiellement exposées comprennent des documents d’identité, des selfies de vérification, des coordonnées et des historiques de transactions, selon les notifications citées. Cela ne signifie pas que chaque catégorie a été remise pour chaque client. Le communiqué technique doit être lu au niveau du dossier individuel, là où les conséquences deviennent concrètes.

UNE REVENDICATION DE RANÇON N’EST PAS ENCORE UN BILAN

Au 14 septembre, de nouveaux messages relayés sur les réseaux sociaux affirment que des auteurs de l’incident commenceraient à publier des dossiers KYC et réclameraient un paiement, en menaçant de diffuser davantage de documents. Ces revendications, également présentes dans le pitch reçu par la rédaction, ne sont pas indépendamment authentifiées dans les sources fiables consultées. Aucun montant, calendrier de paiement ou volume de fichiers publiés n’est établi ici.

Des noms de personnalités sont associés à ces messages. Nous ne les reproduisons pas : leur présence dans les fichiers allégués n’est pas corroborée et leur publication ajouterait de l’exposition à une exposition supposée. Être nommé par un extorqueur ne prouve ni l’authenticité d’un dossier ni une responsabilité quelconque de la personne visée. Une menace ne devient pas une source fiable parce qu’elle choisit une cible connue.

La question nouvelle est néanmoins précise : après la remise frauduleuse de données, des copies servent-elles à une opération d’extorsion ? Pour l’établir, il faudrait une confirmation de l’entreprise, d’une autorité ou d’une enquête documentée. Des captures circulant entre comptes peuvent toutes remonter à une seule revendication. Leur multiplication ne vaut pas multiplication des preuves.

SUIVRE LES PIÈCES DU DOSSIER

NE PAS CONFONDRE DEUX AFFAIRES

Une recherche sur Revolut et la rançon fait aussi apparaître un article de Cointelegraph du 23 février 2026. Il porte sur une affaire distincte : un client disait avoir subi des menaces de divulgation impliquant un ancien salarié. Revolut confirmait un signalement aux forces de l’ordre. Cet épisode ne confirme ni l’identité des auteurs de septembre ni une continuité entre les deux dossiers.

La confusion serait commode pour un titre spectaculaire. Elle serait mauvaise pour l’enquête. Des méthodes proches peuvent être employées par des acteurs différents ; un mot-clé commun ne suffit pas à établir un réseau. Le dossier de septembre doit être documenté avec sa propre chronologie et ses propres pièces.

« LES FONDS SONT INTACTS » NE RÉPOND PAS À TOUT

La réponse de Revolut sur les fonds traite un risque bancaire immédiat. Elle ne règle pas la circulation de copies de documents. L’absence de débit frauduleux ne signifie pas qu’une identité exposée est sans valeur pour un escroc. Des informations exactes peuvent rendre un faux appel plus crédible, faire croire à une vérification légitime ou servir de levier de menace.

Une fois transmis, un fichier peut être copié sans laisser de trace visible pour son propriétaire. On ne peut donc pas déduire d’une éventuelle promesse d’effacement que toutes les copies disparaîtront. La qualité de la réponse se mesure aussi à la précision des informations fournies aux clients : quelles données les concernent, quand elles ont été remises et quels risques pratiques en découlent.

Le KYC, procédure de connaissance du client, organise une asymétrie. L’utilisateur doit démontrer qui il est ; l’organisation qui réclame ensuite son dossier doit être authentifiée avec une exigence comparable. Ce n’est pas une objection à toute transmission légale. C’est une demande de contrôle à l’endroit où une apparence d’autorité a suffi à obtenir des données sensibles.

L’ENQUÊTE DOIT PROTÉGER CEUX QU’ELLE RACONTE

Nous n’avons consulté ni téléchargé les dossiers personnels allégués, et aucun lien vers leur diffusion n’est fourni. Décrire une fuite n’exige pas d’en devenir le distributeur. Une enquête peut vérifier des déclarations, demander des réponses institutionnelles et documenter une chronologie sans exposer un passeport ou une adresse privée.

Les personnes contactées doivent utiliser les canaux officiels de leur banque et conserver les preuves d’une menace éventuelle. Le guide de Cybermalveillance.gouv.fr sur l’usurpation d’identité détaille les démarches adaptées. Pour Revolut, l’enjeu est maintenant de répondre sur la sortie des données et sur leur exploitation éventuelle. Le coffre peut être intact tandis que les photocopies circulent. C’est précisément cette différence qui mérite une réponse publique.

LIRE LES DOSSIERS DE L’ARCHIVE

#l-archive