Fuite de données chez Revolut : passeports et RIB volés

La néobanque britannique Revolut a révélé le 12 septembre 2026 avoir été victime d'une fuite de données touchant une partie de ses clients. Selon le communiqué de l'entreprise, repris par Capital et Le Parisien, des cybercriminels se sont fait passer pour une agence gouvernementale légitime en utilisant une véritable adresse mail de cette administration.

Cette adresse a permis à la demande frauduleuse de passer les contrôles automatiques de la banque, une technique d'usurpation qui rappelle les fragilités déjà pointées par la série de cyberattaques contre l'administration française cet été. Revolut a transmis en réponse des informations personnelles et financières de certains de ses utilisateurs, avant de se rendre compte de la supercherie.

Des documents très sensibles transmis aux escrocs

Les données envoyées aux pirates comprennent les noms, dates de naissance, adresses postales et numéros de téléphone des clients concernés. S'y ajoutent des copies de passeports ou de permis de conduire, ainsi que les selfies de vérification biométrique demandés à l'ouverture d'un compte.

Des données financières figurent également dans le lot : IBAN, relevés de compte, historique complet des transactions, y compris en bitcoin. Dès le lendemain de la révélation de l'incident, des documents présentés comme provenant de cette fuite ont commencé à circuler sur un canal Telegram, selon Frandroid.

L'attaque a été revendiquée le 14 septembre par un groupe de cybercriminels jusque-là inconnu, baptisé « Iamnotavillain ». Les pirates exigent une rançon dont le montant précis n'a pas été confirmé par des sources indépendantes. L'usurpation d'une adresse administrative pour tromper un service n'est pas un cas isolé : un scénario comparable avait déjà permis le piratage du fisc français, qui avait valu à la DGFiP un contrôle de la CNIL.

Combien de clients sont concernés

Revolut refuse depuis le début de communiquer un chiffre précis, évoquant un « nombre limité de personnes » et invoquant les enquêtes en cours ainsi que ses obligations de confidentialité. Le Financial Times a toutefois obtenu des informations plus précises sur l'ampleur réelle de l'incident.

Les malfaiteurs auraient cherché en priorité les clients les plus fortunés. Selon le chercheur en sécurité des cryptomonnaies ZachXBT, cité par plusieurs médias, l'incident semble avoir visé en priorité des utilisateurs disposant d'avoirs conséquents. Le footballeur Georges Mikautadze figurerait parmi les personnes touchées, selon la plateforme International Cyber Digest, qui indique avoir échangé avec les auteurs de l'attaque.

Les explications et les garanties de Revolut

Interrogée par plusieurs médias, dont Capital et 01net, Revolut a détaillé sa version des faits par la voix d'un porte-parole. L'entreprise, qui mise par ailleurs sur son livret d'épargne à 5,25 % pour séduire de nouveaux clients, assure avoir agi dès la découverte de la fraude.

« Dès la détection, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée ainsi que les services répressifs, les autorités de protection des données et les régulateurs financiers. », Porte-parole de Revolut, Revolut.

La banque insiste également sur le fait que son infrastructure technique n'a pas été compromise et que l'argent des clients reste en sécurité.

« Les systèmes de Revolut et les fonds des clients ne sont pas affectés. », Porte-parole de Revolut, Revolut.

Revolut a précisé avoir contacté directement chacune des personnes concernées pour les informer et leur apporter un accompagnement. L'entreprise affirme aussi avoir alerté les autorités chargées de l'application de la loi, les régulateurs financiers ainsi que les autorités de protection des données compétentes.

Quelles conséquences pour les clients

Pour les personnes touchées, le risque principal ne porte pas sur leur argent mais sur une possible usurpation d'identité. Avec des passeports, des selfies et des historiques bancaires complets entre les mains d'inconnus, les clients concernés s'exposent à des tentatives de fraude particulièrement convaincantes dans les semaines à venir.

Les experts cités par Frandroid et Europe1 recommandent aux clients ayant reçu une notification de surveiller étroitement leurs comptes et de se méfier de tout appel, SMS ou mail se réclamant de Revolut. La banque rappelle qu'aucun de ses conseillers ne demandera jamais un code de validation ou un virement vers un compte prétendument sécurisé. Ceux qui n'ont reçu aucune notification ne seraient, selon Revolut, pas concernés par cette fuite.