Fuite de données chez Revolut : des pièces d'identité et des historiques bitcoin ont pu partir. La fausse demande portait des identifiants authentiques.

Quand une autorité réclame des informations sur un client, la banque vérifie que la demande vient bien de cette autorité. Elle répond ensuite, souvent vite, parce que la loi l'y oblige et que certaines demandes invoquent une vie en danger. Par email, la vérification repose sur l'authentification du domaine (SPF, DKIM, DMARC), des contrôles techniques qui attestent que le message est parti des serveurs de l'administration. Ces contrôles ne disent rien de la personne qui a écrit, ni de son droit à demander. En retour, la banque transmet le dossier que la réglementation anti-blanchiment l'oblige à tenir sur chaque client, avec son identité vérifiée, ses pièces, son adresse et l'historique de ce qu'il fait de son argent.

Le 11 septembre 2026, des clients de Revolut ont appris par un email de la banque que leurs données avaient été transmises à un tiers non autorisé.

Ce que Revolut dit avoir pu remettre

Un client a rendu publique la notification que Revolut lui a adressée. La banque y écrit que les informations transmises ont pu inclure les données suivantes.

• L'identité, avec le nom complet, la date de naissance et la profession.
• Les coordonnées, soit l'adresse postale, l'email et le téléphone.
• Les pièces, c'est-à-dire la copie du passeport ou du permis de conduire et le selfie pris pour la vérification d'identité.
• Le dossier financier, avec les relevés (IBAN et numéro de référence de wallet), les retraits et l'historique complet des transactions, bitcoin compris.

Revolut précise qu'aucune donnée biométrique du visage n'a été compromise. Seule l'image du selfie est citée.

Revolut qualifie de limité le nombre de clients concernés, sans donner de chiffre, et ne nomme ni l'administration ni la date de la demande. Selon la banque, ses systèmes et les fonds des clients ne sont pas affectés. Elle a bloqué l'adresse et prévenu l'administration en cause, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers. L'enquêteur ZachXBT, qui a rendu l'affaire publique, écrit que l'incident semble avoir visé des clients fortunés, une lecture que Revolut n'a pas confirmée.

Pourquoi l'authentification du domaine n'a rien arrêté

Plusieurs médias ont parlé d'un email usurpé. La notification décrit un compte ouvert sans autorisation à l'intérieur même du domaine d'une autorité publique, avec des identifiants d'authentification authentiques. Ce compte appartenait bien au domaine de l'administration, et les contrôles techniques l'ont donc laissé passer. Revolut dit avoir répondu en croyant raisonnablement à une demande officielle.

Fin mars 2022, Bloomberg rapportait, sur la foi de trois personnes au fait du dossier, qu'Apple et Meta avaient remis à la mi-2021 des coordonnées d'abonnés (adresse, téléphone, adresse IP) à des pirates qui se faisaient passer pour des policiers. Ni Apple ni Meta n'ont confirmé les avoir remises. D'après ces personnes, et une quatrième qui enquêtait sur l'affaire, ces fausses demandes d'urgence auraient été envoyées depuis des domaines email piratés de services de police de plusieurs pays. En mars 2024, PayPal a reçu une fausse demande d'entraide judiciaire et l'a refusée. Le 4 novembre 2024, le FBI a diffusé une alerte aux entreprises sur l'usage d'adresses email gouvernementales, américaines et étrangères, pour obtenir des données personnelles par de fausses demandes d'urgence. Le FBI y cite un cybercriminel qui affirmait détenir des boîtes de plus de 25 pays.

Parmi les cas que citent Bloomberg et l'alerte du FBI, aucun ne décrit un intermédiaire financier qui aurait remis des pièces d'identité et un historique de transactions. Chez Revolut, la fausse demande a pu obtenir les deux, historique bitcoin compris.

Le dossier que la loi oblige l'intermédiaire à réunir

Le 27 août, un article publié ici posait que le fisc ne voit la crypto que si un intermédiaire la déclare. L'obligation pèse sur celui qui effectue une transaction pour le compte d'un client, plateforme d'échange, courtier, service de conservation ou processeur de paiement. Ce même intermédiaire doit aussi, au titre de la lutte contre le blanchiment, vérifier l'identité de chaque client et conserver l'historique de ses opérations. Il tient donc le dossier où la loi oblige à réunir l'identité civile et l'activité bitcoin.

Dans le cadre CARF de l'OCDE, ces déclarations commencent à circuler entre administrations fiscales en 2027, pour 46 juridictions selon la liste publiée par l'OCDE en juin 2026. Cet échange passe d'une administration à une autre par un canal officiel, et il n'a rien à voir avec une demande envoyée par email à une banque. Les deux canaux supposent pourtant que l'intermédiaire a déjà tout rassemblé. Selon CDR, l'obligation de tout réunir explique aussi que le dossier de l'intermédiaire intéresse un fraudeur qui se fait passer pour l'autorité.

La notification parle de l'historique des transactions bitcoin et d'un numéro de référence de wallet, pas d'adresses sur la chaîne. Rien n'établit donc qu'un tiers puisse relier ces clients à des adresses publiques. Si le dossier est parti dans les termes de la notification, il relie en revanche leur identité à leur activité bitcoin chez Revolut.

Coinbase a déjà montré ce que devient un dossier de ce type une fois sorti. Dans un formulaire déposé auprès de la SEC le 15 mai 2025, la plateforme déclarait que l'attaquant avait payé des prestataires ou des employés de support hors des États-Unis. Ils avaient sorti des noms, des adresses, des images de pièces d'identité, des soldes et des historiques de transactions. Coinbase renforçait ses protections contre l'usage de ces données pour tromper des clients, prévoyait de rembourser ceux qui avaient envoyé des fonds à l'attaquant, et estimait le coût entre 180 et 400 millions de dollars, à titre préliminaire. Les données de Coinbase sont sorties par des complices payés, sans fausse demande, mais le dossier volé ressemble à celui que décrit la notification de Revolut.

La question à poser à une contrepartie régulée

Le FBI recommande depuis 2024, en cas de doute, de contacter l'expéditeur et l'autorité d'origine. Revolut a bien contacté l'administration par un canal indépendant, mais après avoir répondu. Selon sa notification, la banque, déjà au courant d'un problème, voulait ainsi valider la demande, et elle a fini par signaler à l'administration un compte non autorisé qui opérait apparemment dans son domaine.

Une institution qui choisit un dépositaire ou une plateforme pour ses cryptoactifs note d'ordinaire la garde, qui détient les clés et qui audite. L'affaire Revolut ajoute une ligne à la grille. Comment la contrepartie authentifie-t-elle une demande d'autorité reçue par email, et le fait-elle avant de répondre ?

Selon CDR, aucun correctif logiciel ne ferme ce canal, parce que l'authentification du domaine a fonctionné comme prévu et que le défaut se loge dans toute procédure qui accepte l'origine technique d'un message comme preuve d'un droit à demander.

Corriger la procédure protégera les demandes à venir. Pour les dossiers déjà partis, la correction arrive trop tard, comme la version corrigée d'une application de signature, qui ne peut rien contre les signatures déjà publiées.

La loi demande aux intermédiaires de réunir dans un même dossier l'identité et l'activité crypto de leurs clients. Tout intermédiaire tenu de le réunir peut recevoir, comme Revolut, une fausse demande d'autorité.

Questions fréquentes

Revolut a-t-il été piraté ?
Non, selon Revolut, dont les systèmes ne sont pas compromis. La banque a répondu à une demande venue d'un compte ouvert sans autorisation dans le vrai domaine d'une administration, en la croyant authentique.

Quelles données ont pu être remises ?
Selon la notification envoyée aux clients, l'identité, les coordonnées, la copie du passeport ou du permis avec le selfie de vérification, les relevés, les retraits et l'historique des transactions, bitcoin compris. Revolut écrit que ces données ont pu être incluses, sans confirmer le périmètre exact, et précise qu'aucune donnée biométrique du visage n'a été compromise.

Est-ce la première fois qu'une fausse demande d'autorité obtient des données ?
Non. Selon trois personnes au fait du dossier citées par Bloomberg en 2022, Apple et Meta auraient remis des coordonnées d'abonnés sur des demandes falsifiées en 2021, ce que ni Apple ni Meta n'ont confirmé. Le FBI a alerté les entreprises sur le procédé en novembre 2024. Parmi les cas cités par Bloomberg et par le FBI, aucun ne décrit un intermédiaire financier qui aurait remis des pièces d'identité et un historique de transactions, ce que la notification de Revolut dit avoir pu transmettre.

Des adresses bitcoin ont-elles été exposées ?
Rien ne l'établit au 14 septembre 2026. La notification mentionne l'historique des transactions bitcoin et un numéro de référence de wallet, pas des adresses sur la chaîne.