Pas besoin de pirater Revolut pour voler vos données, il suffit de les demander gentiment

Revolut vient de reconnaître un incident de sécurité concernant certains de ses utilisateurs. Sans aucune intrusion informatique, des informations personnelles sont pourtant arrivées entre les mains d’un tiers non autorisé. Parmi les éléments exposés figurent des documents particulièrement sensibles pour un établissement financier.

Pièces d’identité, selfies et historiques de paiement s’accumulent aujourd’hui dans les bases des banques en ligne. Ce stock représente une mine d’or pour les escrocs. En février dernier, plus d’un million de contribuables avaient vu leurs coordonnées bancaires exposées par le fisc français. Depuis cet épisode, les campagnes d’hameçonnage utilisent ce type de butin pour cibler leurs victimes avec précision. Forcer un système informatique n’est pourtant pas indispensable pour un pirate.

Passeports, selfies et justificatifs de domicile font partie des nombreux documents officiels conservés par les néobanques. Leur transmission est obligatoire lors de l’ouverture d’un compte. Il y a seulement quelques semaines, Revolut a obtenu son agrément bancaire en France, tandis que la société revendique plus de 80 millions d’utilisateurs dans le monde. Cette expansion s’appuie sur un volume considérable de pièces sensibles conservées en interne. Récemment, un incident a rappelé la fragilité de cette organisation.

Des demandes officielles falsifiées ont conduit Revolut à transmettre passeports et permis de conduire

Auprès de TechCrunch, Revolut a reconnu l’affaire après que le média a consulté le message adressé aux personnes touchées. Depuis une boîte mail liée à une véritable agence gouvernementale, un tiers non autorisé a transmis de fausses demandes d’informations. La banque a donné suite. Les données communiquées comprennent des dates de naissance, des adresses postales, des numéros de téléphone, mais aussi des copies de passeports et de permis de conduire. Selfies de vérification, relevés de compte et historiques de transactions figurent également parmi les informations transmises.

Combien de personnes ont reçu ce message reste impossible à savoir. Revolut refuse de communiquer un chiffre et ne précise ni le pays concerné ni l’administration dont l’identité a été usurpée. Sur son site, la société n’a rien publié à ce sujet. Après avoir bloqué l’adresse frauduleuse, ses équipes ont alerté les autorités et les régulateurs financiers. Selon Revolut, les systèmes internes comme les fonds déposés restent intacts. De son côté, ZachXBT, chercheur en sécurité reconnu, estime que l’opération ciblait les gros patrimoines. Cette affaire survient à un mauvais moment pour la néobanque, en pleine préparation d’une entrée en Bourse avec une valorisation espérée autour de 185 milliards d’euros.