Fuite Revolut : Rançon Et Données Clients Publiées

Il a suffi d’un courrier électronique, d’un nom de domaine officiel et d’une procédure interne trop confiante pour que des passeports, des selfies de vérification et des historiques Bitcoin quittent les serveurs de Revolut. Vendredi, la néobanque britannique parlait encore d’un incident limité. Dimanche soir, le même dossier a basculé dans le registre du chantage : des captures d’identité de clients en vue circulent, une rançon est exigée, et les auteurs promettent de verser davantage de données chaque jour tant que l’entreprise ne paie pas.

Ce Que La Fuite Revolut Révèle Vraiment

Le scénario n’a rien d’un film d’espionnage mal écrit. Il ressemble plutôt à une faille humaine habillée de légitimité administrative. Un tiers non autorisé a utilisé une boîte mail hébergée sur le domaine authentique d’une agence gouvernementale. Les contrôles techniques classiques — ceux qui vérifient qu’un message vient bien du domaine annoncé — ont laissé passer la requête. Revolut a alors transmis des dossiers clients en croyant répondre à une autorité. Les systèmes de la société n’ont pas été forcés. Les fonds n’ont pas bougé. En revanche, l’identité de certaines personnes a quitté le coffre.

Cette distinction compte. Beaucoup de lecteurs entendront « piratage » et imagineront un serveur éventré. Ici, le verrou informatique a tenu. C’est le protocole de réponse aux demandes officielles qui a cédé. Dans l’univers des néobanques et des plateformes crypto, cette frontière est devenue le nouveau champ de bataille : on n’attaque plus seulement le code, on attaque la confiance que l’entreprise accorde à un tampon administratif.

Le calendrier d’un week-end qui a tout changé

Les premiers messages aux clients concernés sont partis autour du 11 septembre. Le 12, l’ancien dirigeant de Mt. Gox, Mark Karpelès, a rendu public un large extrait de la notification reçue. Le même jour, l’enquêteur on-chain ZachXBT a souligné que le ciblage semblait viser en priorité des profils fortunés, souvent détenteurs de cryptomonnaies. Revolut a confirmé l’affaire à plusieurs rédactions : une « escroquerie sophistiquée par usurpation d’identité externe », un nombre de victimes qualifié de « limité », des systèmes et des fonds « non affectés ».

Jusque-là, l’histoire restait contenue. Elle ressemblait à une bavure de conformité, grave mais gérable. Puis le dimanche 13 septembre, le compte International Cyber Digest a relayé un basculement. Les mêmes acteurs, désormais installés sur Telegram, publiaient des extraits de dossiers. Parmi les noms cités figuraient le joueur de tennis Alexander Shevchenko et Felix Römer, dirigeant de Gamdom et de Skinscom. Le message était limpide : Revolut doit payer, sinon d’autres pièces, d’autres échanges internes, d’autres identités suivront.

Ce qui a réellement quitté les dossiers

Les notifications envoyées aux clients dressent une liste plus précise que le communiqué public. On y trouve des noms complets, des dates de naissance, des professions, des adresses postales, des courriels, des numéros de téléphone. On y trouve aussi des copies de passeports et de permis de conduire, des selfies de vérification KYC, des relevés, des IBAN, des dates d’ouverture de compte, des références de portefeuille et, point particulièrement sensible pour la communauté crypto, des historiques de transactions incluant des mouvements en bitcoin.

Revolut a indiqué que les données biométriques de télémétrie faciale n’étaient pas concernées, pas plus que les mots de passe, les codes PIN ou les clés privées. Cette précision rassure sur le vol d’argent immédiat. Elle ne rassure pas sur le reste. Un selfie de vérification associé à un passeport et à une adresse, c’est déjà assez pour fabriquer une identité de substitution, pour monter une campagne d’hameçonnage sur mesure, ou pour relier un visage à une activité on-chain que l’on croyait relativement discrète.

Nous avons identifié une escroquerie sophistiquée par usurpation d’identité externe dans laquelle un tiers non autorisé a utilisé l’adresse d’un domaine d’agence gouvernementale légitime pour soumettre des demandes d’informations frauduleuses. Les systèmes de Revolut et les fonds des clients ne sont pas affectés.

Porte-parole de Revolut

La phrase officielle est soigneusement calibrée. Elle insiste sur l’absence d’intrusion technique. Elle ne dit rien du volume. Elle ne dit rien du pays d’origine de l’agence. Elle ne dit rien du délai écoulé entre l’envoi des dossiers et le moment où quelqu’un a compris que le destinataire n’était pas un fonctionnaire. Dans une affaire de données, ces silences pèsent autant que les aveux.

Pourquoi les profils crypto sont particulièrement exposés

Un relevé bancaire classique raconte une vie de consommateur. Un historique Bitcoin raconte autre chose. Il peut montrer des dates d’achat, des montants, des retraits vers des plateformes, parfois même des habitudes de conservation. Associé à une pièce d’identité et à une adresse, il transforme une personne en cible. Pas forcément pour vider un compte demain matin. Plutôt pour construire un dossier : qui possède quoi, où elle habite, comment l’approcher.

ZachXBT l’a dit dès samedi : le périmètre paraît restreint, mais le ciblage donne l’impression d’une sélection de clients à forte valeur. Ce n’est pas une observation anodine. Depuis des mois, les forces de l’ordre françaises documentent une hausse des séquestrations et des extorsions liées aux cryptomonnaies. Des adresses, des visages, des montants : ce sont précisément les ingrédients de ces dossiers. La fuite Revolut n’invente pas cette menace. Elle lui fournit éventuellement du carburant.

En France, le souvenir de Sallanches reste vif. Un couple de retraités enlevé, une rançon de plusieurs millions d’euros réclamée au fils investisseur, une enquête qui a abouti à des interpellations. D’autres affaires, à Ploudalmézeau et ailleurs, ont suivi le même schéma : identifier un détenteur, localiser son entourage, frapper hors de l’écran. Quand une néobanque livre à la fois l’identité civile et la trace des flux crypto, elle ne livre pas seulement un fichier. Elle livre une carte.

Felix Römer, première figure nommée

Sur les captures relayées dimanche, l’une des pièces les plus discutées concerne Felix Römer. Les auteurs affirment détenir son dossier KYC complet, un selfie de vérification, une pièce d’identité et la confirmation de son compte Revolut. Le dirigeant de Gamdom, également à la tête de Skinscom, a réagi publiquement par un message d’incrédulité adressé à la néobanque, sans démenti circonstancié au moment où l’information a circulé.

Nommer une personne connue n’est pas un détail de chronique people. C’est une tactique. Dans le répertoire des groupes qui monétisent des fuites, exposer un visage reconnaissable sert à deux choses : prouver que l’on détient réellement la marchandise, et augmenter la pression médiatique sur l’entreprise. Tant que les victimes restent anonymes, la crise reste technique. Dès qu’un nom circule, elle devient politique, réputationnelle, presque personnelle.

Le second nom évoqué, celui du joueur de tennis Alexander Shevchenko, suivait la même logique. Dimanche soir, certains médias n’avaient pas encore recoupé l’identité sportive avec un dossier client. L’incertitude n’a pas empêché le message d’atteindre des dizaines de milliers de vues en quelques heures. Dans ce type d’affaire, la viralité précède souvent la vérification. C’est précisément ce que recherchent les auteurs.

Le mode opératoire : ni ransomware classique, ni simple hameçonnage

On serait tenté de classer l’épisode dans la case ransomware. Le schéma y ressemble : voler, exposer, faire monter les enchères. Pourtant, rien n’indique pour l’instant qu’un logiciel malveillant ait chiffré les systèmes de Revolut. Il n’y a pas eu, selon l’entreprise, d’intrusion dans le cœur technique. Il y a eu une demande qui avait l’apparence du droit.

Cette nuance change la leçon. Les filtres anti-usurpation d’expéditeur peuvent valider un message quand le domaine est authentique. Si quelqu’un parvient à créer ou à contrôler une boîte à l’intérieur d’une infrastructure officielle, le tampon technique devient un sauf-conduit. Revolut n’a pas seulement cru un menteur. Elle a cru un menteur assis, d’une manière ou d’une autre, dans le salon numérique d’une institution.

Reste la question que l’entreprise refuse de trancher en public : la boîte a-t-elle été créée par un compromis interne à l’agence, par une négligence de provisionnement, ou par un accès détourné plus sophistiqué ? Tant que l’enquête est ouverte, le silence se comprend. Il laisse toutefois un trou dans le récit. Les clients n’ont pas seulement besoin de savoir que « ce n’était pas un hack de nos serveurs ». Ils ont besoin de savoir comment une demande aussi sensible a pu être honorée sans un second facteur humain indépendant.

Une néobanque sous pression de légitimité

Le timing est cruel. Début septembre, Revolut a obtenu un feu vert conditionnel de l’Office of the Comptroller of the Currency pour préparer une banque nationale aux États-Unis, avec une mise en service évoquée pour 2027. Le projet promet dépôts assurés, accès aux rails de la Réserve fédérale, crédits, cartes, et une offre qui mêle banque classique et services liés aux stablecoins. Dans ce récit-là, Revolut n’est plus seulement une application colorée. Elle veut être une institution.

Or une institution se juge aussi à la manière dont elle traite les demandes d’État. Paradoxalement, c’est précisément cette volonté d’obéir vite aux autorités qui a ouvert la brèche. Trop ralentir une requête officielle expose à des reproches de non-coopération. Trop accélérer expose à livrer des vies privées à un imposteur. Entre les deux, il n’existe pas de bouton magique. Il existe des protocoles à double validation, des rappels hors bande, des listes d’autorités préenregistrées, des délais de confirmation. La question publique, désormais, est de savoir lesquels étaient en place et lesquels ont été court-circuités par l’apparence du domaine.

Revolut n’arrive pas non plus les mains vides sur le terrain des incidents. En 2022, plus de 50 000 clients avaient déjà été touchés par une fuite. En juillet 2026, des acteurs criminels ont prétendu vendre 75 millions d’enregistrements ; l’entreprise avait alors indiqué ne voir aucun signe de compromission et contesté la solidité des échantillons. Cette fois, le débat n’est plus « est-ce vrai ? ». L’entreprise elle-même a écrit aux concernés. Le doute a changé de nature : il porte sur l’ampleur, pas sur l’existence.

Ce que change la publication des dossiers

Tant que les données restaient dans les mains d’un tiers silencieux, le risque était surtout futur : revente, usurpation, campagnes d’ingénierie sociale. Dès qu’elles apparaissent en captures, le risque devient immédiat et social. Un selfie KYC n’est pas une photo de vacances. C’est une image conçue pour prouver que l’on est soi-même, souvent de face, souvent avec le document. La diffuser, c’est offrir un modèle à ceux qui fabriquent de faux dossiers ailleurs.

Les auteurs accusent aussi Revolut d’avoir transmis des informations hors de sa juridiction et d’avoir négligé la protection de la vie privée. Ces accusations font partie du théâtre de la rançon. Elles cherchent à retourner le scandale contre la victime institutionnelle. Elles n’en sont pas moins capables d’alimenter des procédures, des questions de députés, des demandes d’autorités de protection des données. Une fuite n’est plus seulement un incident de sécurité. C’est un dossier de gouvernance.

• Pression médiatique : des noms connus rendent l’affaire inévitable dans les fils d’actualité.
• Pression réglementaire : les autorités déjà prévenues devront expliquer ce qu’elles exigent désormais.
• Pression client : ceux qui n’ont pas reçu de mail se demandent s’ils sont vraiment hors du périmètre.
• Pression marché : une valorisation élevée supporte mal l’idée que le KYC peut voyager par erreur.

La leçon française : l’adresse vaut parfois plus que le mot de passe

Dans les conversations crypto, on répète depuis des années de protéger ses clés. C’est juste. C’est insuffisant. Une clé bien gardée n’empêche pas quelqu’un de sonner chez vos parents si votre adresse, votre visage et vos volumes de transaction sont connus. La gendarmerie le dit désormais sans détour : la violence physique autour des cryptos n’est plus un fait divers isolé. Elle s’appuie sur des fuites, des vantardises en ligne, des recoupements d’open source, parfois sur des bases volées.

C’est pourquoi cette affaire dépasse le cercle des clients Revolut. Elle interroge toutes les plateformes qui stockent à la fois un document d’identité et une cartographie des flux. Les exchanges, les néobanques, certains courtiers, certains outils de fiscalité on-chain : tous accumulent le même couple infernal, identité civile plus activité financière. Plus le régulateur exige de KYC, plus le coffre devient intéressant. Plus le coffre est intéressant, plus la procédure de remise aux autorités doit être inattaquable.

On peut défendre le KYC comme un outil de lutte contre le blanchiment. On peut aussi admettre que chaque pièce collectée crée une obligation de forteresse. Les deux phrases peuvent coexister. Elles doivent coexister. Sinon le public n’entendra plus que la seconde, celle de la défiance.

Que peuvent faire les clients, concrètement

Ceux qui ont reçu la notification savent au moins qu’ils sont dans le périmètre. Les autres ne devraient pas conclure trop vite à l’immunité : l’entreprise n’a pas publié de liste de pays, ni de chiffre. La prudence consiste donc à agir comme si un profil partiel pouvait circuler, même sans confirmation individuelle.

Il serait tentant d’ajouter une liste de produits miracles. Il n’y en a pas. Un gestionnaire de mots de passe ne répare pas un passeport déjà copié. Une alerte de crédit ne fait pas disparaître un selfie. Le bon réflexe est plus prosaïque : ralentir, vérifier par un second canal, refuser l’urgence que l’arnaqueur essaie toujours d’imposer.

Ce que l’affaire dit du métier de néobanque

Revolut a construit son image sur la vitesse. Ouvrir un compte en quelques minutes, changer de devise, acheter un peu de bitcoin, payer à l’étranger sans friction. Cette promesse a séduit des dizaines de millions de personnes. Elle a aussi créé une organisation qui doit traiter, à grande échelle, des demandes d’autorités venues de dizaines de juridictions. Plus on grandit, plus ces demandes se multiplient. Plus elles se multiplient, plus le risque d’une fausse requête « presque parfaite » augmente.

Les banques traditionnelles ne sont pas à l’abri. Elles ont toutefois, parfois, des habitudes plus lentes, plus procédurales, plus tatillonnes. On peut moquer cette lenteur jusqu’au jour où elle évite d’envoyer un passeport à la mauvaise personne. L’industrie fintech devra inventer une troisième voie : assez rapide pour rester compétitive, assez lente pour rester sceptique. Ce n’est pas un slogan. C’est un chantier de process, de formation des équipes conformité, de listes blanches d’autorités, de confirmations téléphoniques hors messagerie.

Les régulateurs regarderont aussi. Aux États-Unis, un agrément conditionnel n’est pas un blanc-seing. En Europe, le RGPD et les règles bancaires laissent peu de place à l’à-peu-près quand des documents d’identité circulent. En France, où une part non négligeable de la clientèle de Revolut est installée, les questions porteront autant sur la notification que sur la prévention des réutilisations criminelles.

Le chantage comme stratégie de communication inversée

Les auteurs ne se contentent pas de posséder des fichiers. Ils commentent. Ils accusent. Ils choisissent des cibles dont le nom fait du bruit. Ils parlent de messages internes et de fonctionnement des équipes. Que ces menaces soient pleinement étayées ou en partie théâtrales, elles servent un objectif : transformer une entreprise en otage narratif. Chaque jour sans paiement devient un épisode. Chaque nouveau visage devient une preuve.

Payer n’a jamais été une garantie. L’histoire des rançons numériques est pleine de groupes qui ont continué à publier après virement, ou qui sont revenus plus tard avec le même stock. Ne pas payer n’est pas non plus indolore : d’autres clients peuvent se retrouver exposés par représailles. Les États le savent, les entreprises le savent, et les auteurs le savent aussi. D’où l’intérêt, pour le public, de ne pas réduire le débat à un dilemme binaire. Le vrai sujet est la capacité à authentifier une autorité avant d’ouvrir le coffre, pas seulement la décision de céder ou de résister une fois le mal fait.

Ils veulent que Revolut paie. Ils disent qu’ils publieront davantage de messages, de données et d’informations sur le fonctionnement de l’équipe.

Synthèse du message relayé par International Cyber Digest

Cette phrase, même reformulée, résume la bascule. On n’est plus dans la notification polie du vendredi. On est dans la sérialisation du scandale. Pour une marque qui prépare une banque américaine et cultive une image de sérieux institutionnel, chaque capture est une entaille. Pour les clients, chaque capture est un rappel que la vie privée n’est pas un réglage caché au fond d’une application. Elle est une chaîne, et la chaîne a cassé à un maillon administratif.

Ce qui reste à établir dans les jours qui viennent

Plusieurs points devront être clarifiés, par Revolut ou par les autorités, si l’on veut sortir du brouillard. Combien de personnes précisément ? Dans quels pays ? Pendant combien de temps la boîte a-t-elle fonctionné avant d’être bloquée ? Quel contrôle humain a validé l’envoi ? Les données ont-elles été chiffrées en transit vers le destinataire imposteur, et cela change-t-il quelque chose une fois le fichier ouvert de l’autre côté ? D’autres institutions financières ont-elles reçu les mêmes requêtes depuis le même domaine ?

Il faudra aussi distinguer les pièces réellement authentifiées des montages. Dans toute fuite médiatisée, des opportunistes ajoutent de faux documents pour surfer sur la vague. Mélanger les deux rend service aux auteurs comme aux marchands de panique. Le travail des journalistes, des enquêteurs et des équipes de sécurité sera de recouper, pas d’amplifier.

Enfin, il faudra observer la réaction des clients fortunés. Une partie d’entre eux n’a jamais considéré Revolut comme une banque de conservation à long terme, plutôt comme un rail pratique. D’autres y ont centralisé beaucoup. Les arbitrages de ces prochaines semaines — rester, fractionner, partir — diront si l’affaire reste un incident de conformité ou devient un tournant de réputation.

Au-delà de Revolut, une industrie qui collectionne trop de portraits

Le paradoxe de la décennie crypto est là, presque trop visible. On a inventé des réseaux où l’on peut transférer de la valeur sans demander la permission d’une banque. Puis les portes d’entrée grand public ont exigé un passeport, un selfie, une adresse, parfois un justificatif de domicile, parfois une source de fonds. Le résultat est un archipel de bases KYC gigantesques, tenues par des entreprises plus jeunes que les banques qu’elles prétendent remplacer, exposées à des attaques que les régulateurs n’avaient pas imaginées sous cette forme.

On peut blâmer l’appât du gain des pirates. On peut blâmer la naïveté d’un process. On peut blâmer la pression réglementaire qui oblige à tout collecter. Chacun de ces reproches contient une part de vrai. Aucun ne suffit. La seule conclusion opérationnelle est rude : tant que l’on stocke le visage et le flux ensemble, on doit traiter chaque demande d’autorité comme une opération à haut risque, comparable à un mouvement de fonds, pas comme un ticket support parmi d’autres.

Les lecteurs qui n’ont jamais eu de compte Revolut auraient tort de tourner la page trop vite. Le même schéma peut se reproduire ailleurs, dès qu’une entreprise a l’habitude de répondre vite aux pouvoirs publics et dès qu’un domaine officiel peut être abusé. La sophistication n’est pas dans le malware. Elle est dans le costume.

Une affaire encore ouverte

Au moment où ces lignes sont écrites, Revolut maintient que ses systèmes n’ont pas été pénétrés et que l’argent des clients est intact. Les auteurs, eux, maintiennent la publication et la demande de paiement. Entre les deux récits, il y a des passeports, des selfies, des relevés, des noms qui ne devraient jamais servir de monnaie d’échange. Il y a aussi une industrie qui découvre, une fois de plus, que la confiance ne se pirate pas seulement par le code. Elle se trompe parfois d’expéditeur.

Le public jugera sur la suite : la clarté des chiffres, la qualité de l’accompagnement des victimes, la réforme des procédures de réponse aux autorités, et surtout l’arrêt — ou non — de la drip de données. Jusqu’à cet arrêt, chaque journée peut faire basculer un dossier privé dans le fil d’actualité. C’est précisément ce que les auteurs ont annoncé. C’est précisément ce qu’il faut refuser de banaliser.