Dans cet article Dans cet article
- Des pièces d’identité, des selfies et des relevés de compte
- La fraude n’a pas visé les serveurs, elle a visé la procédure
- Plus de 80 millions de clients, et aucun décompte
- Une fintech qui grandit plus vite que ses procédures
- 2026, l’année où les papiers d’identité ont beaucoup circulé
- La confiance accordée aux demandes officielles devient la cible
Recevoir un message depuis l’adresse officielle d’une administration suffit encore, en 2026, à obtenir la copie du passeport d’un client de banque. Revolut l’a confirmé le 12 septembre : la fintech britannique a bien transmis des informations sensibles à un tiers non autorisé, qui se faisait passer pour une autorité publique en écrivant depuis un domaine de messagerie réellement rattaché à un organisme d’État. Aucun serveur n’a été forcé, aucun mot de passe n’a été cassé, et c’est précisément ce qui rend l’affaire intéressante.
La manœuvre porte un nom dans le milieu de la sécurité : la fausse réquisition légale. Elle consiste à imiter une demande d’autorité, celle qui oblige normalement une banque ou une plateforme à coopérer vite et sans discuter. Elle prospère parce que les entreprises qui détiennent nos données doivent répondre aux administrations dans des délais courts, sans toujours pouvoir vérifier qui écrit vraiment. Que vaut alors la sécurité de votre compte, si elle ne dépend plus de votre mot de passe mais de la vigilance d’un service de conformité ?
Des pièces d’identité, des selfies et des relevés de compte
D’après la notification envoyée aux clients concernés et consultée par TechCrunch, la liste de ce qui a pu sortir est plus large que de simples coordonnées. Elle couvre l’état civil, les moyens de contact et, pour certains dossiers, l’intégralité du parcours de vérification d’identité.
- la date de naissance, l’adresse postale et l’adresse e-mail ;
- le numéro de téléphone ;
- les copies de documents d’identité, passeports et permis de conduire ;
- les selfies de vérification pris à l’ouverture du compte ;
- les relevés de compte et les historiques de transactions.
Cette composition change tout à l’évaluation du risque. Un mot de passe se remplace en trente secondes, une copie de passeport reste exploitable pendant des années pour ouvrir un compte ailleurs, contourner une vérification d’identité ou rendre une tentative d’hameçonnage nettement plus crédible.
Le selfie de vérification est le plus gênant du lot. Il constitue la pièce manquante de la plupart des procédures d’entrée en relation à distance, celles-là mêmes qui se sont généralisées dans la banque en ligne. Associé à un document officiel, il ouvre des portes que ni Revolut ni le client ne peuvent refermer.
La fraude n’a pas visé les serveurs, elle a visé la procédure
Les banques et les services de paiement reçoivent en permanence des demandes légales portant sur l’identité ou les opérations d’un client. Elles doivent coopérer rapidement quand une enquête le justifie, et refuser quand l’interlocuteur n’a pas ce droit. L’attaquant s’est glissé dans cet écart : il n’a pas cherché à entrer, il a demandé poliment, depuis une adresse dont l’authenticité technique ne posait aucun problème.
Revolut n’a pas nommé l’administration dont le domaine a servi, ni précisé si cette adresse avait été compromise ou détournée par quelqu’un qui y avait déjà accès. La formulation de l’entreprise, elle, est restée très mesurée.
Revolut a récemment identifié une opération sophistiquée d’usurpation externe, au cours de laquelle un tiers non autorisé a utilisé l’adresse e-mail d’un domaine gouvernemental légitime pour soumettre des demandes d’informations frauduleuses.
Un porte-parole de Revolut, déclaration à TechCrunch, 12 septembre 2026
L’entreprise dit avoir bloqué l’adresse dès la découverte de la fraude, prévenu l’administration concernée, les forces de l’ordre et les régulateurs financiers. Elle insiste sur un point : ses systèmes et les fonds déposés n’ont pas été touchés. C’est vrai, et cela ne réduit en rien la valeur des documents déjà partis.
Plus de 80 millions de clients, et aucun décompte
Revolut parle d’un nombre « limité » de personnes concernées et affirme les avoir contactées directement. L’entreprise n’a communiqué ni chiffre exact, ni pays, ni période pendant laquelle les demandes frauduleuses ont été traitées. Avec plus de 80 millions de clients et un statut de banque dans plus de 30 pays, l’imprécision laisse beaucoup de monde dans l’incertitude.
Le chercheur en sécurité ZachXBT, qui a révélé l’existence du courrier envoyé aux victimes, estime que l’opération ciblait des clients fortunés. Revolut n’a pas confirmé cette lecture. Un ciblage sélectif reste une hypothèse, pas une garantie pour les autres titulaires de compte, qui n’ont aucun moyen de savoir s’ils figuraient sur la liste.
Une fintech qui grandit plus vite que ses procédures
L’incident tombe au milieu d’une phase d’expansion rapide. Le 3 septembre 2026, le régulateur bancaire américain a accordé à Revolut une approbation conditionnelle pour créer une banque nationale aux États-Unis, avec un lancement espéré au premier semestre 2027. L’entreprise a par ailleurs décroché des licences bancaires en France et au Royaume-Uni ces derniers mois.
Sur le plan financier, la trajectoire est du même ordre. Valorisée 75 milliards de dollars lors de sa levée de novembre 2025, la société travaillerait à une introduction en Bourse pouvant la valoriser jusqu’à 200 milliards de dollars. Chaque marché ouvert ajoute un régulateur, un cadre de réquisition, des interlocuteurs publics à reconnaître.
Cette diversification a une contrepartie rarement mise en avant. Plus une fintech opère de services, plus elle accumule de données sensibles et plus la surface de ses procédures s’étend. Revolut a notamment participé au premier paiement réalisé par une intelligence artificielle en France avec Visa, un dispositif qui suppose encore d’autres circuits de validation.
Le parallèle avec d’autres incidents récents s’impose. On a déjà vu une simple balise oubliée exposer des conversations privées par milliers, sans la moindre intrusion. La logique est la même ici : l’erreur ne vient pas du code, elle vient de l’organisation qui l’entoure.
2026, l’année où les papiers d’identité ont beaucoup circulé
Deux jours avant la confirmation de Revolut, le spécialiste américain de la vérification d’identité IDScan reconnaissait une fuite portant sur plus de 150 millions de permis de conduire. En France, la CNIL a annoncé le 11 septembre, d’après KultureGeek, un contrôle de la Direction générale des finances publiques après la cyberattaque de cet été.
Ces affaires se ressemblent par leur point d’arrivée. Elles alimentent un marché de documents authentiques qui sert ensuite à fabriquer des approches très personnalisées, sur le modèle de la voix clonée par une intelligence artificielle. Un dossier complet vaut bien plus qu’une adresse e-mail isolée, parce qu’il permet de construire un scénario que la victime reconnaît.
La confiance accordée aux demandes officielles devient la cible
Le déplacement est net. Pendant vingt ans, la sécurité s’est concentrée sur l’authentification de l’utilisateur : mots de passe, double facteur, biométrie. Le point faible se situe désormais du côté de celui qui répond, c’est-à-dire l’équipe de conformité qui reçoit une demande d’autorité et doit trancher en quelques heures.
Vérifier l’authenticité d’une adresse ne suffit plus. Il faut vérifier le service demandeur, le dossier invoqué, l’étendue des données réclamées et disposer d’un canal de confirmation établi avec chaque administration. Rien de tout cela n’existe de façon standardisée en Europe, alors que une cyberattaque menée seule par une intelligence artificielle a déjà montré à quelle vitesse ces circuits pouvaient être sollicités à grande échelle.
Reste une question que l’affaire Revolut pose sans la résoudre : qui porte la responsabilité quand une entreprise obéit à une demande qui semblait légitime ? Les régulateurs saisis devront établir si le domaine avait été compromis, et ce que la fintech aurait dû contrôler avant de répondre. La réponse fixera le niveau d’exigence attendu de toutes les plateformes qui détiennent vos papiers.
