Revolut : quand le faux policier frappe à la bonne adresse

Synthèse IA Zoé Sagan · 13 SEPTEMBRE 2026

Des demandes frauduleuses parties d’un domaine gouvernemental légitime ont entraîné une divulgation de données clients. Le point faible se situe dans la confiance accordée à la demande, pas nécessairement dans le coffre informatique.

Des demandes frauduleuses parties d’un domaine gouvernemental légitime ont entraîné une divulgation de données clients. Le point faible se situe dans la confiance accordée à la demande, pas nécessairement dans le coffre informatique.

L’autorité empruntée

Le scénario renverse le récit habituel du piratage bancaire. Il ne commence pas par une porte informatique forcée, mais par une demande reçue comme officielle. Un organisme conserve des informations sensibles pour remplir ses obligations ; quelqu’un se présente avec les apparences d’une autorité habilitée à les réclamer. Le danger apparaît au moment où l’apparence devient autorisation.

Le 12 septembre 2026, The Block a publié la confirmation d’un porte-parole de Revolut : un tiers non autorisé a transmis des demandes frauduleuses depuis un domaine appartenant à une agence gouvernementale légitime. L’entreprise dit avoir bloqué l’adresse, averti les autorités compétentes et contacté les clients concernés. Elle affirme que ses systèmes et les fonds des clients n’ont pas été affectés.

Le nombre exact de personnes concernées et l’agence impliquée n’étaient pas publiquement identifiés dans cette confirmation. La notification citée mentionne notamment des documents d’identité, des informations de contact, des IBAN, des relevés, des historiques de transactions et, potentiellement, des selfies de vérification. Les catégories effectivement transmises peuvent varier selon les dossiers clients.

Ce que prouve une adresse

Une adresse provenant du bon domaine peut établir une provenance technique sans établir la légitimité de chaque action de son utilisateur. Un courrier peut être envoyé depuis un compte compromis, un accès abusivement obtenu ou une infrastructure détournée. Le mécanisme précis de cet incident n’est pas exposé dans la confirmation publique. Affirmer que tel serveur a été piraté ou que telle agence a été infiltrée demanderait des éléments supplémentaires.

Cette distinction est pourtant essentielle pour toutes les institutions qui reçoivent des demandes de données. Vérifier le domaine et vérifier le pouvoir du demandeur sont deux contrôles différents. Il faut aussi vérifier la finalité, la base juridique, le périmètre et la cohérence de la demande. Les dispositifs de confiance qui rendent les échanges plus rapides peuvent devenir dangereux si ces questions disparaissent derrière une adresse familière.

La réponse publique devrait donc porter autant sur le processus que sur l’infrastructure. Quel contrôle indépendant a été réalisé avant la transmission ? Existait-il un canal séparé pour confirmer la demande ? Le destinataire pouvait-il réclamer autant de données ? Ces questions décrivent ce qu’une investigation devrait établir. Elles ne préjugent pas des réponses ni d’une infraction commise par un salarié particulier.

Une pièce d’identité ne se réinitialise pas comme un mot de passe

La valeur d’une fuite tient à la combinaison des données. Une adresse fournit un contexte. Un document d’identité apporte une apparence de légitimité. Un historique de transactions peut révéler des habitudes et des interlocuteurs. Réunis, ces éléments peuvent rendre une tentative d’usurpation plus convaincante. Leur divulgation ne démontre pas qu’une fraude a ensuite eu lieu ; elle crée une exposition qui mérite un suivi.

La phrase « les fonds sont intacts » répond à une question immédiate et importante. Elle ne règle pas celle de l’identité. On peut ne rien perdre aujourd’hui et recevoir plus tard une demande frauduleuse particulièrement crédible. Le risque doit être expliqué sans annoncer une catastrophe certaine ni minimiser les données au motif que le solde du compte n’a pas changé.

Le client qui reçoit une notification peut demander quelles catégories de son propre dossier ont effectivement été transmises, à quelle période et quelles mesures ont été prises. Ce sont des questions individuelles, plus utiles qu’une liste virale présentée comme universelle. Une réponse sur le cas personnel permet de comprendre ce qui doit être surveillé et évite d’agir sur la seule base des récits d’autres utilisateurs.

Le document public et sa limite

Mark Karpelès a publié sur X une notification en indiquant être concerné. Ce post est un document public attribué à son auteur. Il donne accès à une pièce du récit ; il ne permet pas à lui seul de mesurer l’ensemble de l’incident. Son intérêt éditorial est précisément de rendre visible le vocabulaire employé dans la communication aux clients.

Le nombre de notifications visibles sur les réseaux sociaux ne fournit pas un décompte fiable des victimes. Les personnes qui publient sont une fraction auto-sélectionnée des destinataires. À l’inverse, l’absence de publication par un client ne prouve pas qu’il n’est pas touché. Les chiffres doivent venir de l’enquête ou d’un bilan institutionnel identifiable, et non d’une impression de volume dans un fil.

La protection pratique commence par une règle simple : recontacter sa banque depuis son application ou ses coordonnées officielles lorsqu’un message inhabituel réclame une action. Ne pas utiliser le numéro ou le lien fourni par l’expéditeur suspect. Ne pas lui remettre de code de validation. Conserver les éléments si une tentative de fraude se produit. Ces réflexes ne remplacent pas l’obligation de protection des entreprises ; ils limitent l’exploitation secondaire des données.

Une affaire de confiance administrée

Le secteur financier demande aux utilisateurs de prouver leur identité avec toujours plus de précision. Ce dossier rappelle que l’exigence doit aussi s’appliquer à celui qui réclame leurs données. Plus le dossier est riche, plus le mécanisme de transmission doit être robuste. La rapidité d’un échange ne doit pas devenir son unique indicateur de réussite.

À ce stade, il manque encore un bilan public détaillé du périmètre, de la chronologie et du mode d’authentification abusé. Ces éléments doivent désormais être précisés publiquement. La leçon déjà visible est plus précise qu’un slogan sur une banque « hackée » : une demande peut paraître officielle et rester illégitime. La sécurité doit savoir faire cette différence avant de cliquer sur envoyer.

Notification publiée par Mark Karpelès, qui indique être concerné

Revolut qualifie les faits de « sophisticated external impersonation scam ». Une formulation technique ne répond pas encore à la question du contrôle qui a permis de remettre les données.

Les pièces du dossier

• Confirmation et notification rapportées par The Block
• Document public de Mark Karpelès
• Communication institutionnelle Revolut

État des informations au 13 septembre 2026. Sources accessibles par les liens du dossier. Corrections et droit de réponse : zoesagan2@gmail.com.