La néobanque Revolut a confirmé avoir été victime d’une escroquerie sophistiquée par usurpation d’identité après avoir transmis par erreur des documents sensibles et des données financières à un tiers non autorisé utilisant l’adresse e-mail légitime d’une agence gouvernementale. Revolut a été ciblée par une «escroquerie sophistiquée par usurpation d’identité», indique-t-elle au Figaro ce lundi 14 septembre, confirmant une information du site spécialisé French Breaches.
La fintech Revolut a reconnu avoir communiqué des informations personnelles et des documents confidentiels appartenant à une partie de sa clientèle, selon les révélations du Figaro fondées sur une information initiale du site spécialisé French Breaches.
Une supercherie menée via un domaine gouvernemental authentique
Le piège s’est refermé sur la plateforme en raison de la nature trompeuse de la sollicitation. Les escrocs ont su contourner la vigilance des équipes de conformité en employant un mode opératoire d’une précision redoutable. Les pirates auraient utilisé «un email avec le véritable nom de domaine d’une agence gouvernementale», rendant la demande insoupçonnable car émanant d’une adresse légitime. La néobanque a toutefois fini par détecter cette demande frauduleuse d’informations et a «immédiatement bloqué l’adresse et alerté l’agence gouvernementale concernée» ainsi que les forces de l’ordre.
Dans le cadre de leurs procédures courantes, les établissements bancaires reçoivent régulièrement des demandes officielles émanant d’administrations ou des forces de l’ordre. L’utilisation d’une véritable adresse électronique officielle a immédiatement levé les soupçons, poussant la structure à répondre à la requête illégitime. L’attaquant a ainsi réussi à tromper la société fintech en se faisant passer pour un fonctionnaire gouvernemental.
La nature des données compromises et l’impact sur la clientèle
Face à la tournure prise par les événements, la direction se veut rassurante sur l’intégrité globale de ses infrastructures, tout en mesurant la gravité de la fuite pour les profils touchés. L’application mobile de la société Londonienne est utilisée par 3,4 millions de personnes en Irlande, tandis que l’entreprise sert plus de 80 millions d’utilisateurs dans plus de 30 pays.
Si l’organisme financier insiste sur le fait qu’aucun fonds n’a été dérobé et que les systèmes internes demeurent sécurisés, la néobanque a confirmé que l’attaque n’avait entraîné le vol d’aucun argent, mais que des données personnelles et des documents financiers ont pu être dérobés. Revolut a indiqué qu’un «nombre limité» de ses clients est concerné, sans plus de précisions, et assure qu’ils ont été prévenus. Les éléments subtilisés s’avèrent hautement confidentiels. Les dossiers exfiltrés englobent des informations d’identification conformes aux normes KYC (pour «know your customer», c’est-à-dire connaissance du client), indispensables à l’authentification bancaire :
Noms et prénoms, dates de naissance, professions, adresses postales, adresses e-mail et numéros de téléphone. Copies de documents d’identité, telles que des passeports ou des permis de conduire, ainsi que le selfie de vérification fournis à l’ouverture du compte. Données financières incluant les IBAN, la date d’ouverture du compte, l’historique des transactions ainsi que les relevés de compte.
L’entreprise a tenu à clarifier la situation concernant les personnes directement touchées par cet incident de sécurité en les contactant directement pour leur offrir du soutien.
Une croissance mondiale poursuivie dans un climat de vigilance accrue
Cette brèche intervient alors que le groupe poursuit son expansion internationale rapide. Ses opérations ont récemment été étendues aux Émirats arabes unis, au Mexique, en Inde et en France, où Revolut a décroché sa licence bancaire. L’établissement a également reçu l’approbation préliminaire pour établir une banque nationale aux États-Unis au début de l’année 2027. De plus, l’entreprise envisagerait une introduction en bourse susceptible de valoriser l’activité jusqu’à 200 milliards de dollars (172 milliards d’euros).
Des observateurs de la cybersécurité signalent des comptes fortunés ciblés
Malgré ces perspectives financières colossales, l’affaire rappelle la vulnérabilité des protocoles administratifs face à l’ingénierie sociale de pointe. Des observateurs de la cybersécurité, à l’instar de l’expert ZachXBT, signalent que la manœuvre aurait spécifiquement ciblé des titulaires de comptes très fortunés, tandis que des comptes spécialisés dans le suivi des cyberattaques ont publié sur les réseaux sociaux des captures d’écran d’un canal Telegram dans lequel les pirates exigeraient une rançon de Revolut. Dans ce canal, plusieurs documents, notamment des selfies et des papiers d’identité, sont partagés comme preuve de la possession des données volées.
