La néobanque Revolut a confirmé qu’un tiers non autorisé a réussi à soutirer des données sensibles de clients, dont des passeports et des relevés en bitcoins, en se faisant passer pour une agence gouvernementale. L’attaque, révélée par l’enquêteur ZachXBT et confirmée par plusieurs sources, touche un nombre limité d’utilisateurs à l’échelle internationale, y compris en Belgique.
Les services de la néobanque ont été la cible d’une cyberattaque sophistiquée d’usurpation d’identité. Des fraudeurs ont réussi à tromper la plateforme en utilisant une véritable adresse électronique officielle rattachée à un organisme public, accompagnée d’identifiants valides. Pensant répondre à une requête légitime émanant d’une autorité publique, l’institution financière a transmis des informations personnelles et financières confidentielles avant de réaliser qu’il s’agissait d’un piège.
Quelles données personnelles et financières ont été siphonnées
Les notifications envoyées par la plateforme aux clients concernés détaillent précisément la nature des informations compromises lors de cet incident. Bien que la télémétrie faciale biométrique — le modèle mathématique du visage généré par un système informatique — ait été exclue de la fuite, les documents d’identité fournis lors de l’inscription ont bien été communiqués aux fraudeurs. Les profils ciblés ont ainsi vu leurs copies de passeports ou de permis de conduire s’envoler vers des mains malveillantes.
L’incident ne s’arrête pas aux simples pièces justificatives. La brèche a permis d’obtenir un relevé complet concernant les mouvements de bitcoins entrants et sortants.
L’impact en Belgique et la réponse de la plateforme
L’affaire, initialement mise en lumière par l’enquêteur spécialisé dans les cryptomonnaies ZachXBT, possède des répercussions directes en Europe. Des clients résidant en Belgique figurent parmi les victimes touchées par cette faille d’ingénierie sociale, ainsi que l’indiquent des vérifications menées par HLN. Néanmoins, le nombre exact de personnes affectées sur le territoire belge demeure pour l’instant inconnu.
Dès la découverte de la supercherie, la néobanque affirme avoir réagi promptement. L’adresse électronique frauduleuse a été immédiatement bloquée et l’agence gouvernementale concernée a été avertie de la situation. L’entreprise indique également avoir saisi la police ainsi que les régulateurs nationaux en charge de la protection des données et de la régulation financière. Les personnes impactées ont quant à elles reçu un avertissement par courrier électronique.
La sécurité des comptes et les zones d’ombre de l’enquête
Malgré la gravité des informations subtilisées, la direction de l’établissement tient à rassurer sa base d’utilisateurs quant à l’intégrité opérationnelle de ses services bancaires. Les codes secrets, les mots de passe, les identifiants de connexion et les données biométriques stockées sont restés totalement étanches, préservant ainsi les fonds des clients d’un éventuel pillage direct.
Plusieurs questions restent toutefois sans réponse officielle. Aucune communication publique n’a permis d’identifier précisément l’administration publique dont le domaine a servi à mener l’attaque. Les enquêteurs cherchent encore à déterminer si la boîte mail gouvernementale a subi une intrusion informatique ou si un intervenant disposant déjà des accréditations nécessaires a validé l’envoi. Les autorités poursuivent leurs investigations pour cartographier l’ampleur exacte de ce réseau de fraude.