Fuite de données Revolut : passeports et IBAN exposés

Revolut a averti certains de ses clients, le 11 septembre 2026, qu'une partie de leurs données personnelles avait été transmise à des personnes non autorisées. La banque numérique britannique explique avoir reçu une demande émanant, en apparence, d'une agence gouvernementale légitime.

Un email envoyé depuis le vrai domaine de l'agence

Le message ne venait pas d'une adresse imitant celle de l'organisme, mais du véritable domaine de cette agence. Un compte non autorisé avait réussi à s'y introduire et à envoyer la demande depuis l'intérieur. Les contrôles d'authentification que Revolut applique d'habitude aux requêtes officielles vérifient qu'un email provient bien de l'expéditeur annoncé. Ils ont donc été validés sans problème, puisque le message venait effectivement de là. Sur le papier, rien ne le distinguait d'une requête légitime : la banque ne disposait d'aucun moyen simple de deviner que la boîte mail elle-même avait été détournée en amont.

Revolut a traité la demande comme n'importe quelle autre requête légitime d'une autorité publique, et a transmis les informations demandées. L'erreur n'a été découverte que plus tard, lorsque la banque a recontacté l'agence concernée pour un point de suivi habituel, et appris que la demande initiale n'avait jamais été autorisée de son côté.

Quatre catégories de données transmises

Les données transmises couvrent quatre catégories, selon les notifications envoyées aux clients concernés. D'abord l'identité : nom complet, date de naissance, profession. Ensuite les coordonnées : adresse postale, email, numéro de téléphone. Puis les documents d'identité : copies de passeport ou de permis de conduire, ainsi que le selfie de vérification pris lors de l'ouverture du compte. C'est ce fameux contrôle où l'on se photographie à côté du document présenté.

Enfin, le volet financier : IBAN, statut et date d'ouverture du compte, numéro de référence du portefeuille Bitcoin et historique des retraits. S'y ajoute l'intégralité des mouvements du compte, opérations en Bitcoin comprises. Revolut précise que les données biométriques faciales générées lors de la vérification, distinctes de la photo elle-même, n'ont pas été concernées, et que l'argent des clients n'a couru aucun risque direct.

Une fuite sans piratage technique

Pas d'intrusion technique dans les serveurs, pas de faille exploitée, pas de mot de passe volé. La fuite vient d'une décision humaine, prise sur la base d'un email qui avait toutes les apparences de la légitimité. La donnée est sortie normalement, par la porte d'entrée officielle, avec toutes les autorisations que la procédure exige d'habitude.

Un mot de passe se change en quelques secondes. Un passeport, une date de naissance ou un visage sur un selfie de vérification, non. Ces informations restent valables toute une vie, et peuvent resservir des années plus tard pour usurper une identité ou passer un contrôle biométrique ailleurs. Associées à un IBAN et à un historique de transactions complet, elles fournissent de quoi construire un dossier crédible pour se faire passer pour le client concerné. Elles permettent aussi de le cibler avec un message de phishing qui sonnera juste, parce qu'il contiendra de vraies informations personnelles.

Un incident distinct de l'annonce de juillet

Ce dossier est distinct d'une autre affaire évoquée en juillet 2026, quand une annonce sur un forum du dark web prétendait vendre environ 75 millions de comptes Revolut. La banque avait alors contesté la validité de cette annonce. Les deux épisodes restent, à ce stade, sans lien démontré entre eux.

Selon l'enquêteur en cybersécurité ZachXBT, qui a rendu l'affaire publique, l'incident de septembre semble toucher un nombre limité de comptes, avec une préférence apparente pour des clients dont la surface financière dépasse la moyenne. Les emails de notification ont commencé à arriver dans les boîtes de réception des personnes concernées dès le 11 septembre.

Les mesures prises par Revolut

La banque indique avoir bloqué l'accès du compte à l'origine de la demande frauduleuse sur l'ensemble de ses systèmes internes. Elle a alerté l'agence gouvernementale dont le domaine a été utilisé à son insu, informé les régulateurs financiers compétents et prévenu les clients concernés par email. Des mesures de protection supplémentaires ont été appliquées à leurs comptes.

Pour les personnes qui ont reçu la notification, la prudence porte surtout sur ce qui arrive après coup. Un email ou un appel qui cite ce genre d'incident, même avec des détails exacts, ne garantit rien sur l'identité de son expéditeur : ces informations font justement partie de ce qui a fuité. Revolut recommande de passer systématiquement par le chat intégré à son application, plutôt que de répondre à un message reçu par un autre canal. Il faut aussi rester attentif à toute tentative de récupération de compte qui s'appuierait sur les documents d'identité ou l'adresse exposés.

Un précédent chez Revolut

La banque n'en est pas à son premier incident autour des données de vérification d'identité (KYC). En février 2026, Revolut avait déjà signalé aux autorités le cas d'un ancien employé accusé d'avoir menacé de divulguer des données KYC contre rançon, précisant que ses systèmes avaient fonctionné comme prévu dans cette affaire-là. Dans les deux cas, ce sont des documents d'identité et un historique financier complet qui étaient visés, plutôt qu'un simple mot de passe.

Revolut revendique plus de 70 millions de clients dans le monde, ce qui en fait la plus grande banque numérique d'Europe. La société a obtenu sa licence bancaire britannique en mars 2026. Comme les données personnelles ont quitté l'entreprise sous un faux motif, l'incident tombe sous le coup du RGPD, qui impose des obligations de notification aux autorités et aux personnes concernées.