Fausses réquisitions administratives : Revolut a livré des données clients à un usurpateur
Revolut a confirmé le 14 septembre 2026, auprès du magazine Infosecurity, avoir transmis des données personnelles de clients à un tiers non autorisé. Celui-ci adressait des demandes d'information frauduleuses depuis une adresse rattachée à un domaine d'agence gouvernementale légitime. La fintech britannique affirme que seul « un groupe très limité de clients » est concerné, sans communiquer de chiffre, et que ses systèmes comme les fonds de ses clients n'ont pas été touchés. Pour un DPO, l'intérêt du dossier n'est pas son ampleur : c'est que la divulgation a emprunté le circuit normal de réponse aux demandes des autorités.
Ce que Revolut a confirmé, et ce qui reste revendiqué
La chronologie tient en trois dates, et elles ne disent pas la même chose. Revolut a notifié les clients concernés le 11 septembre 2026. Le 12 septembre, le chercheur indépendant en sécurité crypto ZachXBT a rendu l'affaire publique par un message sur Telegram, en partageant cette notification. Le 14 septembre, un porte-parole de l'entreprise a confirmé l'incident à Infosecurity.
Le mécanisme décrit par Revolut est court. Les demandes provenaient d'un domaine d'agence gouvernementale légitime et passaient les contrôles techniques d'authentification de ce domaine. Des salariés y ont répondu au titre de ce qu'ils ont pris pour une obligation de conformité légale ordinaire. À la détection, l'équipe sécurité a bloqué l'adresse, notifié les clients affectés et alerté l'agence gouvernementale concernée ainsi que des autorités répressives et des régulateurs, dont des régulateurs de protection des données. Ni Revolut ni la source ne les nomment.
Le détail des données exposées, lui, n'émane pas de Revolut : il est revendiqué par ZachXBT. Selon le chercheur, seraient concernés l'état civil, la date de naissance, l'adresse, le téléphone, le courriel et la profession, des copies de documents d'identité et des selfies de vérification, ainsi que des informations financières : IBAN, date d'ouverture du compte, historiques de transactions et de retraits, références de portefeuilles Bitcoin. Revolut n'a pas confirmé cette liste et a refusé de préciser le nombre de clients touchés comme les marchés concernés. Cette distinction sépare ce qui est établi de ce qui est allégué.
Pourquoi c'est important
Le point de rupture n'est pas technique. L'authentification du domaine a fonctionné ; c'est la vérification de la légitimité de la demande qui n'a pas eu lieu. Répondre à une réquisition suppose une base légale réelle : l'article 6.1.c du RGPD, l'obligation légale, ou l'article 6.1.e, la mission d'intérêt public, ne se présument pas d'un nom de domaine. Une adresse en apparence officielle ne prouve ni l'existence d'une procédure, ni la compétence du demandeur, ni la proportionnalité du périmètre réclamé.
Une divulgation à un tiers non autorisé est une violation de données à part entière : une perte de confidentialité. Elle ouvre les obligations de l'article 33, la notification à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, et de l'article 34, la communication aux personnes concernées lorsque le risque est élevé. Avec des pièces d'identité et des selfies de vérification dans le périmètre revendiqué, le risque d'usurpation d'identité placerait ce dossier haut sur l'échelle de l'article 34. La même logique vaut côté sécurité : l'article 32 n'exige pas seulement des mesures techniques, il exige des mesures organisationnelles appropriées, et une procédure de vérification des demandes d'autorité en fait partie.
Ce qu'un DPO vérifie lundi matin
- Sortir la réponse aux demandes d'autorité du jugement individuel : une procédure écrite qui dit qui reçoit, qui décide, sous quel délai et avec quelle trace. Un salarié seul face à une réquisition d'apparence officielle répondra.
- Vérifier chaque demande par un canal indépendant de celui qui l'a émise : rappeler le service sur un numéro public, jamais sur les coordonnées figurant dans le message reçu.
- Exiger par écrit le fondement juridique, la qualité et l'identité du demandeur, puis restreindre la réponse aux seules données nécessaires. Une demande qui réclame l'intégralité d'un dossier client mérite une question avant une réponse.
- Journaliser toute divulgation à une autorité. Sans trace, l'incident ne se reconstitue pas et le délai de 72 heures devient intenable : notre guide sur la réaction à une violation détaille cette chaîne.
- Intégrer ce scénario aux exercices de crise, au même titre qu'un rançongiciel. Il ne déclenche aucune alerte technique : rien ne casse, une réponse part.
- Anticiper la vague secondaire. Les personnes notifiées deviennent des cibles de hameçonnage ciblé, et la CNIL a déjà alerté sur de faux organismes qui démarchent les victimes de violations.
Ce que Leto en pense
Ce dossier ne se répare pas avec un outil de sécurité de plus. Les contrôles techniques ont fait exactement ce qu'on leur demandait : ils ont validé un domaine qui était authentique. Ce qui manquait, c'était une procédure et un point de décision identifié, c'est-à-dire un travail de DPO, rarement engagé avant qu'un incident ne le rende urgent. Un circuit légitime mal encadré produit des divulgations que ni le chiffrement ni la détection ne verront passer : à leurs yeux, il ne se passe rien d'anormal. Deux pages de procédure et une ligne au registre coûtent moins cher qu'une notification de masse. Si vous voulez voir comment Leto outille ce registre et la chaîne de notification, une démo de trente minutes suffit à en juger.
Sources
