Une erreur de vérification aux conséquences potentiellement lourdes. Revolut a transmis des données client vendredi soir, croyant répondre à une demande gouvernementale légitime. Cette demande provenait en réalité d’un e-mail frauduleux, mais utilisant le domaine authentique d’un organisme officiel. Les données transmises incluaient l’historique complet des transactions Bitcoin des clients concernés.
Comment cette faille a-t-elle été possible ?
L’e-mail frauduleux portait des identifiants d’authentification qui ont passé avec succès les contrôles internes de Revolut. L’expéditeur n’avait donc imité une adresse officielle que de façon superficielle. Il utilisait un compte email non autorisé, mais opérant sur le véritable domaine de l’organisme gouvernemental. Revolut a fini par découvrir la fraude en contactant séparément l’organisme concerné par la demande. L’entreprise a ensuite bloqué la source de la requête et alerté ses clients ainsi que les régulateurs concernés.
Un dossier complet transmis par erreur à un tiers non autorisé
Les documents divulgués comprenaient des passeports, des permis de conduire et des selfies de vérification d’identité. S’y ajoutaient les noms complets, dates de naissance, professions, adresses et numéros de téléphone des clients. Les relevés de compte incluaient également les IBAN, l’historique des retraits et les références de wallets Bitcoin. Revolut précise toutefois que cette fuite n’a pas concerné les données de télémétrie biométrique faciale. Aucun client n’a perdu de fonds dans cet incident. Les mots de passe et les clés privées ne figuraient pas parmi les données divulguées.
Des clients fortunés spécifiquement visés
ZachXBT, un enquêteur reconnu spécialisé dans l’analyse on-chain, a révélé cet incident. Selon lui, cette fuite semble limitée en ampleur et pourrait avoir ciblé spécifiquement des clients fortunés. Concrètement, un historique complet de transactions Bitcoin révèle précisément la richesse on-chain réelle d’une victime potentielle. Cette hypothèse de ciblage reste toutefois à confirmer indépendamment, sans validation officielle de Revolut à ce jour. Revolut n’a d’ailleurs communiqué ni le nombre exact de clients touchés, ni le nom de l’organisme usurpé.
Le vrai risque se situe désormais après la fuite elle-même.
Ce type de dossier constitue exactement la matière première idéale pour une attaque de phishing ciblée future. Un attaquant disposant de l’identité, de l’adresse et de l’historique Bitcoin complet d’une personne peut construire un message extrêmement convaincant. Les clients concernés devraient donc redoubler de vigilance face à tout message inattendu dans les prochaines semaines. Cette menace rejoint directement les avertissements récents concernant les campagnes de phishing ciblant les détenteurs de crypto.
Un enjeu direct pour de nombreux utilisateurs
Revolut compte plusieurs millions d’utilisateurs en France, en Belgique et en Suisse, un enjeu direct pour la région. Cette entreprise reste l’une des applications bancaires les plus populaires auprès des jeunes investisseurs crypto francophones. Concrètement, un client français utilisant Revolut X pour trader ses Bitcoin pourrait donc figurer parmi les personnes concernées. Sous le régime RGPD, les clients français concernés disposent de droits spécifiques concernant leurs données exposées. La CNIL pourrait par ailleurs ouvrir sa propre enquête si des résidents français figurent parmi les victimes identifiées.
Revolut : données Bitcoin exposées, ce qu’il faut surveiller
Le nombre exact de clients affectés par cette fuite reste la première information encore manquante. Ensuite, Revolut pourrait révéler l’identité de l’organisme gouvernemental usurpé dans les prochains jours. Par ailleurs, une vague de tentatives de phishing ciblées pourrait survenir dans les semaines suivant cette fuite. Enfin, une possible enquête réglementaire pourrait examiner en détail les procédures de vérification interne de Revolut.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
