Personne n’a piraté Revolut

Le vendredi 11 septembre 2026, Revolut a transmis à un tiers des copies de passeports et de permis de conduire, des selfies de vérification d’identité, des IBAN et des historiques complets de transactions, Bitcoin compris. L’entreprise l’a confirmé le lendemain. Personne n’a piraté ses systèmes. Elle a envoyé ces données elle-même, en croyant répondre à une demande d’une autorité publique.

L’affaire mérite l’attention de toute organisation, quelle que soit sa taille, parce que la faille exploitée ici n’est ni technique, ni corrigeable par une mise à jour. Et parce qu’un détail, passé inaperçu dans la plupart des reprises, la rend bien plus inquiétante qu’il n’y paraît.

Ce qui s’est réellement passé

Une demande arrive, du type de celles que les entreprises régulées reçoivent en routine : réquisition, demande administrative, contrôle réglementaire. Elle est traitée comme telle. Les données partent. Ce n’est qu’en recontactant l’administration par un autre canal que l’entreprise découvre que personne, chez elle, n’a jamais émis cette demande.

Vient le détail qui change tout. Le message ne provenait pas d’un domaine ressemblant, avec une lettre changée, comme dans un hameçonnage ordinaire. Il provenait du vrai domaine de messagerie de l’administration, et il a passé les contrôles d’authentification qui servent précisément à détecter une usurpation d’expéditeur.

Autrement dit : tous les contrôles techniques ont répondu « authentique », et ils avaient raison. Le message venait bel et bien de ce domaine. La compromission n’était pas chez Revolut, elle était en amont, chez l’autorité elle-même.

Les données concernées, d’après la notification adressée aux clients : nom, date de naissance, profession, adresse, téléphone, pièces d’identité, selfies de vérification, IBAN, relevés, retraits et historique complet des transactions. L’entreprise indique que ses systèmes et les fonds n’ont pas été touchés, a bloqué l’adresse en cause, et alerté l’administration concernée, les forces de l’ordre et les régulateurs.

Pourquoi c’est plus grave qu’un hameçonnage

Tout ce qu’on enseigne habituellement devient inopérant. Vérifier l’orthographe du domaine expéditeur ? Le domaine était le bon. Se fier aux contrôles d’authentification du courriel ? Ils étaient au vert, à juste titre. Chercher les maladresses de rédaction ? Rien ne dit qu’il y en avait.

Aucun contrôle technique situé de votre côté ne pouvait détecter cette demande. C’est une conséquence directe, et souvent mal comprise, de la façon dont fonctionne l’authentification du courrier électronique : elle prouve qu’un message provient bien d’un domaine, jamais que la personne derrière le clavier est celle qu’elle prétend être.

Il ne reste alors qu’une seule mesure efficace, et elle est procédurale : sortir du canal.

Ce n’est pas la première fois, et c’est le vrai sujet

Cette technique porte un nom dans le métier, la fausse demande d’urgence, et elle a un historique.

• En 2022, Apple, Meta, Discord et Snap ont transmis des données d’utilisateurs à la suite de fausses réquisitions. Les journalistes spécialisés ont relié une partie de ces demandes au groupe Lapsus$, et deux adolescents britanniques ont été poursuivis. Le mode opératoire était déjà celui-ci : compromettre la boîte mail d’un service officiel, puis émettre des demandes parfaitement crédibles depuis cette boîte.
• En 2024, le FBI a publié un avertissement formel sur la multiplication de ces fausses demandes visant les entreprises technologiques.
• En 2026, la même méthode fonctionne contre un établissement financier régulé.

Quatre ans, trois avertissements publics, et le procédé reste efficace. Ce n’est donc pas une ruse inédite contre laquelle on ne pouvait rien : c’est une technique documentée et industrialisée, à laquelle presque personne n’a opposé de procédure.

Pourquoi ça fonctionne si bien sur des professionnels

Trois ressorts se combinent, et aucun n’est une question de compétence.

• Refuser une autorité paraît risqué. Personne ne veut être la personne qui a fait obstruction à une demande judiciaire. Cette crainte pousse à traiter vite et à ne pas questionner. L’attaquant n’a pas besoin de vous tromper, il lui suffit de vous mettre en position de ne pas oser vérifier.
• Ces demandes arrivent hors des circuits de sécurité. Elles atterrissent chez un juriste, un responsable conformité, un dirigeant. Des personnes rarement formées à l’hameçonnage, et surtout dans un contexte où l’on ne s’attend pas à une attaque mais à une obligation légale.
• L’urgence est intégrée au scénario. La catégorie même de ces demandes, celles dites d’urgence, existe pour court-circuiter les délais habituels. L’attaquant n’a donc pas à fabriquer la pression : le cadre la fournit.

Ce qu’il faut mettre en place, et c’est simple

• Une procédure écrite pour les demandes d’autorité. Qui les reçoit, qui les valide, qui répond. Un point de passage unique, connu de tous, plutôt qu’une réponse au cas par cas selon le destinataire du message. C’est la mesure la plus structurante, et elle ne coûte rien d’autre qu’une décision.
• Le contre-appel systématique, sans exception. On rappelle l’organisme demandeur sur un numéro obtenu indépendamment, jamais celui figurant dans la demande. Même règle que pour un changement de coordonnées bancaires, appliquée à un contexte où personne n’y pense. En France, une réquisition authentique identifie le magistrat ou l’officier qui l’émet et le service dont il relève : vous pouvez donc joindre ce service par son standard officiel.
• Le droit de prendre le temps, affirmé par la direction. Vos équipes doivent savoir, explicitement, qu’aucune autorité légitime ne reprochera un délai de quelques heures pour vérifier son identité. Ce soutien hiérarchique est ce qui libère la vigilance. Sans lui, la meilleure procédure du monde cède devant la peur de mal faire.
• Répondre à la demande, et rien de plus. La liste des données transmises dans cette affaire est longue parce que la demande était large. Une demande légitime est circonscrite : un compte, une période, une nature d’information. Si le périmètre demandé paraît démesuré, c’est en soi un signal.
• Tracer la demande, la vérification et la réponse. Conserver ce qui a été demandé, comment vous l’avez validé, ce que vous avez transmis et à qui. C’est ce qui permet de mesurer l’étendue du dommage si vous vous êtes trompé, et c’est la première chose que le régulateur vous demandera.

Le réflexe réglementaire qu’on oublie

Transmettre des données personnelles à un tiers non autorisé est une violation de données au sens du RGPD, même sans la moindre intrusion. Cela déclenche les obligations habituelles : notification à la CNIL sous 72 heures, et information des personnes concernées lorsque le risque pour elles est élevé.

Ici, il l’est manifestement. Pièce d’identité, selfie de vérification et historique complet de transactions forment un dossier de ciblage : ils relient une identité vérifiée à un patrimoine connu, ce qui expose les personnes concernées à l’hameçonnage ciblé, à l’usurpation d’identité, et pour les détenteurs d’actifs numériques, à des formes d’extorsion bien physiques.

Ce qu’on en retient chez Humanix

• Le seul contrôle qui survit à une compromission en amont est celui qui sort du canal. Si la demande arrive par courriel, la vérification ne doit pas se faire par courriel. Cette règle vaut bien au-delà des réquisitions : virements, changements de coordonnées, accès exceptionnels.
• Nous avons appris à nous méfier des liens et des pièces jointes. Nous n’avons jamais appris à nous méfier d’une demande qui invoque une autorité, précisément parce que nous avons été éduqués à y répondre. C’est un angle mort de sensibilisation, et il se corrige.
• Une procédure que personne n’a jamais jouée est un document, pas une défense. La question n’est pas de savoir si vous avez écrit quelque chose, mais si la personne qui recevra la demande un vendredi à dix-huit heures saura quoi en faire. Cela se teste, et c’est exactement ce que nous simulons dans nos exercices d’ingénierie sociale.
• Aucun reproche à faire aux équipes. Dans cette affaire, les personnes ont fait ce pour quoi elles étaient formées : répondre à une obligation légale, vite et bien. Le défaut n’est pas individuel, il est organisationnel, et c’est pour cela que nous ne pratiquons pas l’audit-couperet. La preuve avant le verdict.

Dans votre organisation, si une demande officielle arrivait demain en réclamant des données clients, qui la vérifierait avant d’y répondre ? Si la réponse n’est pas immédiate, vous avez votre prochain chantier.

Note et sources. Cet article s’appuie sur la confirmation publique de l’incident par l’entreprise concernée et sur sa couverture par la presse spécialisée, notamment TechCrunch le 12 septembre 2026. Le nombre de personnes touchées et l’administration dont le domaine a été utilisé n’ont pas été rendus publics, et nous ne les supposons pas. Nous décrivons le mécanisme et ses contre-mesures, sans détailler la fabrication d’une fausse demande. Les précédents de 2022 et l’avertissement du FBI de 2024 sont documentés publiquement. Une procédure de réponse aux demandes d’autorité à écrire, ou à mettre à l’épreuve ? Contactez-nous.