Revolut a reconnu le 12 septembre 2026 avoir été victime d’un vol de données touchant une partie de sa clientèle. Dès le lendemain, des informations sensibles concernant certains de ses clients ont commencé à circuler sur un canal Telegram.
La néobanque britannique évoque une escroquerie sophistiquée par usurpation d’identité externe. Selon son communiqué, elle a transmis des données confidentielles en pensant répondre à une demande légale émanant d’une administration. Des escrocs avaient mis la main sur une véritable adresse rattachée à une agence gouvernementale, ce qui a permis à leur requête de passer les contrôles automatiques de la banque, selon des précisions rapportées par FrenchBreaches. Ce n’est qu’en contactant ensuite l’administration concernée que Revolut a découvert la supercherie.
Un groupe inconnu revendique l’attaque et exige une rançon
Le 14 septembre 2026, un groupe de cybercriminels jusqu’alors inconnu, baptisé Iamnotavillain, a revendiqué le vol. Les pirates réclament une rançon.
Selon Revolut, seul un nombre limité de personnes serait concerné, sans que la banque ne donne de chiffre précis, invoquant les enquêtes en cours et ses obligations de confidentialité. Le Financial Times avance de son côté que 680 clients auraient été informés du vol, dont une centaine de Français.
Revolut compte 8 millions de clients en France, et près de 70 millions dans le monde. Les malfaiteurs semblent avoir surtout cherché à récupérer les données des clients les plus fortunés.
Les informations dérobées comprennent :
- des documents d’identité,
- des selfies de vérification demandés lors de l’ouverture de compte,
- des IBAN,
- des historiques de transactions et
- des soldes de comptes en cryptomonnaies.
Une partie de ces données avait été collectée dans le cadre des procédures de vérification d’identité, dites KYC (connaissance client). Des passeports, cartes d’identité et selfies ont déjà circulé sur Telegram, sans lien formellement établi avec ce vol précis, précise Frandroid.
L’affaire a été rendue publique par plusieurs destinataires des notifications de Revolut, dont Mark Karpelès, ancien dirigeant de la plateforme d’échange de cryptomonnaies Mt. Gox. Le chercheur ZachXBT a également relayé l’incident avant que Revolut ne le confirme à la presse.
Face aux risques, Revolut affirme avoir bloqué l’adresse mail utilisée par les escrocs et prévenu le service gouvernemental concerné. « Les systèmes de Revolut et les fonds des clients ne sont pas affectés », assure la banque dans son communiqué.
Les clients concernés ont été prévenus par mail et invités à la plus grande prudence face aux sollicitations reçues par mail ou par SMS dans les prochaines semaines, certaines arnaques pouvant s’avérer très difficiles à détecter.
Le principal risque identifié tient à l’exploitation de ces données pour rendre de futures escroqueries plus convaincantes : un faux conseiller connaissant l’identité, la banque et les dernières transactions de sa cible peut gagner sa confiance, prétexter une sécurisation du compte après la fuite, puis réclamer un code de validation ou pousser à un virement.
Les documents d’identité volés pourraient aussi servir à tenter d’ouvrir des comptes ou de souscrire des crédits au nom des victimes, même si la réussite de ces démarches dépend des vérifications de l’organisme sollicité. Un IBAN seul ne donne pas accès à un compte bancaire, mais peut être utilisé pour tenter des prélèvements frauduleux.
Christophe Mazzola, expert en cybersécurité et auteur du livre Être en Cybersécurité, estime sur son blog que la vérification auprès de l’administration aurait dû intervenir avant toute transmission de données. « Revolut a répondu à une réquisition sans appeler l’agence avant d’envoyer, ce qui est exactement le comportement que ses homologues sanctionneraient chez un prestataire lors d’un audit tiers », écrit-il.
L’affaire pourrait conduire les régulateurs britanniques à examiner si les procédures de contrôle de Revolut étaient adaptées à la sensibilité des données réclamées. Le UK GDPR, transposition britannique du RGPD européen, impose aux banques de vérifier la légitimité de toute demande de transmission, même émanant d’autorités. En cas de manquement, Revolut pourrait s’exposer à des amendes de plusieurs millions de livres sterling, voire un pourcentage de son chiffre d’affaires mondial.
L’incident survient alors que Revolut multiplie les étapes d’expansion internationale : lancement de sa banque britannique en mars 2026, obtention d’une licence complète en France en août 2026, feu vert conditionnel aux États-Unis début septembre 2026. Ces démarches supposent de convaincre les régulateurs de la solidité des contrôles internes du groupe.
