La néobanque Revolut a récemment été la cible d'une manœuvre d'ingénierie sociale d'une efficacité redoutable. En exploitant un accès réel au sein du système de messagerie d'une agence gouvernementale, les attaquants ont fait passer une demande frauduleuse pour une réquisition légale authentique. Contrairement aux cyberattaques classiques, aucun protocole de sécurité technique n'a été contourné : les filtres SPF, DKIM et DMARC ont validé la communication, trompant ainsi la vigilance des équipes de conformité qui, en toute bonne foi, ont accédé à la requête.
Cette brèche a permis aux individus malveillants d'extraire des dossiers complets sur une sélection de clients fortunés. Parmi les données subtilisées figurent des copies de passeports, des selfies de vérification d'identité, des coordonnées bancaires (IBAN) ainsi que des historiques détaillés de transactions, incluant spécifiquement les activités en Bitcoin. Si la banque assure que les systèmes de sécurité et les fonds des clients n'ont pas été directement compromis, l'exposition de telles informations sensibles fait peser un risque immédiat et prolongé sur les victimes.
L'enjeu dépasse largement le cadre d'un simple vol de données personnelles, car il expose directement les utilisateurs à des menaces physiques. En recoupant une identité vérifiée avec un solde en cryptomonnaies avéré, les agresseurs disposent d'un profil idéal pour organiser des extorsions, une tendance préoccupante qui a vu une hausse marquée des séquestrations liées aux actifs numériques en France. Contrairement à un mot de passe, ces données d'identité ne peuvent être réinitialisées, marquant durablement les personnes concernées par cette fuite.
Cet incident souligne une faille structurelle majeure : malgré la robustesse des infrastructures blockchain et des protocoles de sécurité numérique, l'humain reste le maillon faible. Dans un secteur où les procédures de connaissance client (KYC) imposent une collecte massive de données, la centralisation de ces informations devient une cible de choix. Pour les experts, ce cas confirme que la prudence ne doit plus seulement être technologique, mais reposer sur des vérifications procédurales rigoureuses, y compris pour les demandes semblant provenir des autorités les plus légitimes.