À retenir
- Un inconnu a obtenu des dossiers clients en utilisant le domaine e-mail d’une agence gouvernementale, confirme Revolut
- Passeports, permis de conduire, selfies de vérification, IBAN et historiques de transactions figurent parmi les données livrées
- Des extraits sont diffusés sur Telegram depuis le 14 septembre, avec la menace d’une publication quotidienne
- La néobanque assure que ses systèmes et les fonds de ses clients n’ont pas été touchés
Au sommaire
Revolut voit les pièces d’identité de certains de ses clients circuler sur Telegram. Des comptes anonymes y ont mis en ligne ce lundi 14 septembre des copies de passeports et des selfies de vérification faciale, en promettant d’en publier de nouveaux chaque jour tant qu’une rançon ne sera pas versée, rapportent The Register et le site Protos.
La néobanque britannique avait reconnu l’incident deux jours plus tôt. Elle n’a toujours pas dit combien de personnes sont concernées, ni dans quels pays.
Un e-mail envoyé depuis le domaine d’une agence gouvernementale
Revolut décrit « une arnaque à l’usurpation d’identité externe et sophistiquée », menée par « un tiers non autorisé qui a utilisé l’adresse e-mail du domaine légitime d’une agence gouvernementale pour soumettre de fausses demandes d’informations ». La formulation est celle du communiqué transmis à TechCrunch le 12 septembre.
À lire aussi
Autrement dit, personne n’a forcé de serveur. Les données ont été demandées par la voie officielle que les banques réservent aux réquisitions administratives et judiciaires, et elles ont été remises.
Le contenu de ces dossiers est le plus sensible qu’une banque détienne : nom complet, date de naissance, profession, adresses postale et électronique, numéro de téléphone, copie du passeport ou du permis de conduire, selfie de vérification, relevés de compte, IBAN, historique des retraits et des opérations, y compris l’activité en bitcoins.
Revolut affirme avoir bloqué l’adresse dès la découverte, prévenu l’agence concernée, les forces de l’ordre, les autorités de protection des données et les régulateurs financiers. L’entreprise refuse de nommer l’administration dont le domaine a servi de couverture.
Une rançon en bitcoins que la néobanque n’a pas confirmée
Les auteurs de la fuite affirment réclamer 10 000 bitcoins, soit environ 780 millions de dollars au cours actuel, selon Protos. Ni Revolut ni les autorités n’ont confirmé ce montant, et plusieurs analystes cités par le site doutent de sa crédibilité : une somme pareille serait traçable de bout en bout sur la chaîne de blocs.
Les documents déjà mis en ligne appartiennent à des clients fortunés, dont un joueur de tennis professionnel. Le chercheur ZachXBT, connu pour ses enquêtes sur les fraudes en cryptomonnaies, estimait dès samedi que l’opération visait spécifiquement cette clientèle.
C’est ce qui distingue cet épisode d’une fuite de masse. Une copie de passeport associée à un selfie et à un historique de transactions en bitcoins ne sert pas à envoyer du spam : elle sert à ouvrir un compte au nom de quelqu’un, ou à le cibler physiquement. Le scénario rappelle celui de la fuite ShipMonk qui a exposé les clients de Trezor, où des adresses de livraison de portefeuilles crypto s’étaient retrouvées dans la nature.
Revolut a décroché sa licence bancaire française en août
La question des clients français n’est pas théorique. Revolut a obtenu sa licence bancaire en France et annoncé plus d’un milliard d’euros d’investissement le mois dernier. Le marché français fait partie de ceux sur lesquels l’établissement mise le plus.
Le règlement européen sur la protection des données impose à un responsable de traitement d’informer directement et sans délai les personnes concernées lorsqu’une violation présente un risque élevé pour leurs droits. Revolut dit avoir contacté les clients touchés. Ceux qui n’ont rien reçu ne figurent donc pas, à ce stade, parmi les dossiers transmis.
Une précision utile, parce que c’est exactement l’espace dans lequel s’engouffrent les escrocs : les jours qui suivent une fuite médiatisée voient toujours fleurir de faux messages d’alerte. Le mécanisme a été documenté en détail cet été, quand le piratage de la DGFiP a déclenché une vague d’arnaques par SMS et par mail.
Perceval, plainte, vigilance : les réflexes après un vol de pièce d’identité
Aucun conseiller bancaire, chez Revolut comme ailleurs, ne demande par téléphone ou par message le code à six chiffres reçu par SMS, un mot de passe ou un code de carte. Un interlocuteur qui connaît votre date de naissance et votre adresse n’est pas pour autant votre banque : ces informations font précisément partie de ce qui a fuité.
En cas d’opération non autorisée sur la carte, le signalement passe par Perceval, le téléservice de la gendarmerie accessible depuis un compte France Connect, après opposition auprès de la banque. La démarche conditionne le remboursement.
Une copie de passeport qui circule ne s’annule pas d’un clic. Le seul réflexe utile est le dépôt de plainte, dont le récépissé sert ensuite à contester une ouverture de compte ou un crédit souscrit au nom de la victime. La plateforme publique cybermalveillance.gouv.fr oriente gratuitement vers la bonne procédure, et la CNIL peut être saisie d’une réclamation contre l’établissement.
Revolut n’a annoncé aucun calendrier de communication. Les pirates, eux, ont promis une livraison par jour.
