Revolut : quand une adresse officielle devient un cheval de Troie

En septembre 2026, Revolut a informé certains clients qu’un tiers non autorisé avait obtenu leurs données au moyen de demandes frauduleuses. Les messages provenaient pourtant d’un domaine de messagerie appartenant à une administration. C’est précisément ce qui rend l’affaire utile à étudier : l’attaquant n’a pas eu besoin d’ouvrir une brèche dans le système bancaire. Il a exploité la confiance placée dans un canal présenté comme officiel.

Revolut affirme qu’un nombre limité de clients a été touché, sans publier de chiffre. Des informations de presse italiennes ont évoqué environ 680 personnes et une boîte de courrier électronique certifié compromise ; ces éléments font encore l’objet d’investigations et n’ont pas tous été confirmés par la banque. En revanche, la nature de l’incident ne fait plus de doute : des informations ont été communiquées à une personne qui n’était pas autorisée à les recevoir.

Cette distinction compte. Le problème ne se résume pas à un collaborateur qui aurait cliqué sur un lien piégé. Il concerne une chaîne de décision, probablement répartie entre opérations, service juridique, conformité et équipe chargée de répondre aux autorités. Quand une telle chaîne peut confondre l’authenticité d’une adresse avec la légitimité d’une demande, la faille est organisationnelle.

Ce qui a été exposé

Selon la notification adressée aux personnes concernées, les données pouvaient comprendre le nom, la date de naissance, les adresses postale et électronique, le numéro de téléphone, des copies de passeport ou de permis de conduire, un selfie de vérification, des relevés de compte et l’historique de transactions. Revolut a indiqué que ses systèmes et les fonds des clients n’avaient pas été affectés.

L’absence de vol direct d’argent ne rend pas la fuite bénigne. Une pièce d’identité seule est déjà sensible. Associée à une adresse, un visage, des coordonnées bancaires et un historique de transactions, elle devient un dossier extrêmement précis sur la vie financière d’une personne. Elle peut servir à préparer une usurpation d’identité, un faux appel du service fraude, une demande de paiement crédible ou une pression ciblée sur un client dont les avoirs sont visibles.

Le piège d’un canal réellement officiel

Les éléments rendus publics en Italie ont orienté l’enquête vers une boîte PEC compromise. La PEC, ou courrier électronique certifié, fournit des preuves d’envoi et de réception et joue un rôle important dans les échanges administratifs italiens. Mais elle ne garantit pas que le titulaire légitime contrôle encore sa boîte, que la personne derrière le clavier possède l’autorité annoncée, ni que la pièce jointe soit authentique.

Le CERT-AGID italien le rappelle explicitement : la certification porte sur la transmission et la livraison du message ; elle ne prouve pas que le compte de l’expéditeur n’a pas été compromis. Quelques jours après la révélation de l’affaire Revolut, le CERT signalait encore une campagne de logiciels malveillants envoyée depuis des boîtes PEC détournées.

La nuance est simple, mais souvent perdue sous la pression : un domaine légitime prouve tout au plus l’origine technique immédiate. Il ne prouve ni l’identité humaine, ni le pouvoir d’agir au nom d’une autorité, ni la base juridique, ni le périmètre des données demandées.

Une pièce bien présentée n’est pas une base juridique

L’affaire aurait aussi impliqué un document présenté comme une décision d’enquête européenne. Là encore, l’apparence d’un formulaire ne suffit pas. La directive 2014/41/UE, qui encadre cette décision, prévoit une procédure entre autorités compétentes de l’État d’émission et de l’État d’exécution. Pour des informations bancaires, la demande doit expliquer pourquoi les données sont pertinentes, viser des comptes ou opérations définis et rester soumise au droit de l’État qui l’exécute.

Pour l’organisation qui reçoit une demande, la bonne question n’est donc pas « le document ressemble-t-il à un ordre officiel ? ». Il faut déterminer quelle autorité l’a émis, par quel canal elle devait le transmettre, qui doit le reconnaître ou l’exécuter, quelle entité juridique détient les données, et si chaque catégorie demandée est nécessaire.

Un contrôle juridique sans contrôle d’identité laisse passer une usurpation. Un contrôle d’identité sans examen du périmètre peut conduire à remettre cent dossiers lorsqu’un seul était autorisé. La défense doit assembler ces preuves, pas en choisir une.

Les contrôles qui auraient dû interrompre la demande

Un processus robuste de réponse aux autorités ne doit pas dépendre de l’intuition d’un employé. Il doit rendre l’exception difficile, visible et réversible.

• Enregistrer chaque demande avec un numéro de dossier, l’entité juridique concernée, l’autorité annoncée, la base légale, les personnes visées, les champs demandés et la période.
• Vérifier l’identité du demandeur par un second canal déjà connu : annuaire officiel, standard public ou point de contact institutionnel enregistré. Les coordonnées contenues dans le message reçu ne doivent pas servir à cette vérification.
• Faire examiner la compétence et la base juridique par une personne qui n’a pas préparé l’export. Pour une demande transfrontalière, confirmer le chemin prévu entre autorités et le droit applicable.
• Appliquer une validation à deux personnes avant tout export de documents d’identité, de relevés ou d’historiques de transactions. Une demande urgente augmente le niveau de contrôle ; elle ne le réduit pas.
• Réduire l’export au minimum autorisé. Les champs, clients et périodes non explicitement couverts restent exclus, même s’ils sont faciles à extraire.
• Utiliser un espace de remise sécurisé, limité dans le temps et lié au dossier. Le courrier électronique ne doit pas devenir un canal d’export de masse.
• Conserver un journal immuable : requête originale, vérifications, décisions, requêtes de base de données, fichiers produits, destinataire et preuve de retrait ou d’expiration.

Ces mesures ne sont pas réservées aux banques. Une ASBL, un cabinet, un prestataire informatique ou une PME peut détenir des pièces d’identité, des dossiers de paie, des listes de donateurs, des sauvegardes ou des données de santé. Une demande « officielle » y trouvera parfois moins de contrôles et autant d’informations exploitables.

Pourquoi les outils de sécurité n’ont pas suffi

Les organisations investissent volontiers dans le filtrage des courriels, l’authentification multifacteur et la détection de logiciels malveillants. Ces protections restent indispensables, mais elles répondent surtout à la question « ce compte et ce message sont-ils techniquement plausibles ? ». Dans cette affaire, le compte utilisé était précisément ce qui donnait de la crédibilité à la demande.

Il fallait un contrôle métier capable de dire : même si le message est authentique au niveau du transport, nous ne savons pas encore si la personne est autorisée, si la procédure est correcte et si la quantité de données est proportionnée. C’est le sens des mesures organisationnelles exigées par le RGPD : la confidentialité ne dépend pas seulement du chiffrement, mais aussi de procédures capables d’empêcher une divulgation non autorisée.

Une bonne procédure crée également une voie d’escalade. Si le demandeur invoque l’urgence, menace de sanctions ou refuse une vérification indépendante, l’employé doit pouvoir suspendre le traitement sans craindre d’être accusé d’entraver une autorité. L’urgence devient alors un signal de risque documenté.

Après la divulgation, contenir ne suffit pas

Revolut a déclaré avoir bloqué l’adresse utilisée et averti l’administration concernée, les forces de l’ordre et les régulateurs. Ce sont des premières mesures nécessaires. La réponse complète doit toutefois reconstituer avec précision qui a reçu quoi, par quel lien ou fichier, pendant combien de temps et quelles données ont réellement été consultées.

Pour les personnes concernées, le risque dépasse le mot de passe du compte Revolut. Un appelant peut désormais connaître leur adresse, leur document d’identité et certaines transactions. Elles doivent considérer toute prise de contact non sollicitée comme potentiellement hostile, utiliser uniquement l’application ou les coordonnées officielles déjà enregistrées, surveiller les mouvements et demandes de crédit, et signaler rapidement toute menace ciblée. Remplacer un mot de passe reste utile dans de nombreux incidents, mais cela ne révoque pas une copie de passeport déjà divulguée.

Pour l’organisation, la leçon est plus exigeante : il faut rechercher les demandes antérieures ayant suivi le même chemin, préserver les preuves, informer les personnes selon le risque réel et tester le nouveau processus avec des scénarios où l’expéditeur utilise une adresse authentique compromise.

Ce que l’affaire Revolut révèle

La cybersécurité moderne ne s’arrête pas à la frontière du système d’information. Elle se joue aussi au moment où une personne autorisée décide d’extraire des données pour répondre à une demande qui paraît légitime. C’est là que la sécurité technique, le droit, la conformité et les opérations doivent se rejoindre.

Revolut n’a pas décrit une intrusion dans son infrastructure. C’est ce qui rend le cas plus instructif qu’un piratage classique. Un attaquant a trouvé une porte déjà prévue pour les autorités et a présenté les signes que l’organisation associait à la confiance.