Une faille d'un genre particulier vient de frapper la néobanque Revolut, mettant en lumière l'extrême vulnérabilité des processus de conformité face aux cyberattaques par ingénierie sociale. Les 11 et 12 septembre, l'entreprise a répondu favorablement à une demande d'information en apparence officielle, croyant collaborer avec une agence gouvernementale. En réalité, un attaquant avait réussi à s'infiltrer directement dans l'infrastructure de messagerie de l'institution étatique. Les systèmes de la néobanque ont validé le message sans aucun rejet, les contrôles de sécurité habituels tels que SPF, DKIM et DMARC confirmant l'authenticité technique de l'expéditeur. Cet incident survient alors que l'établissement, récemment doté d'un agrément bancaire complet en France, envisage une entrée en bourse avec une valorisation estimée entre 150 et 200 milliards de dollars.

Le périmètre des éléments subtilisés s'avère critique pour les utilisateurs ciblés. L'escroquerie a permis l'extraction de dossiers d'identité complets comprenant des copies de passeports, des photos de vérification faciale, des données de contact, des relevés bancaires avec IBAN, mais surtout l'historique exhaustif des transactions en Bitcoin. D'après les observations du chercheur ZachXBT et les témoignages de figures du secteur comme Mark Karpelès ou Marc Zeller, l'attaque visait en priorité des clients fortunés. Bien que la firme affirme avoir bloqué l'adresse compromise et préservé les fonds, la fuite simultanée d'éléments d'état civil et d'historiques d'actifs numériques crée un préjudice permanent pour les victimes.

La divulgation conjointe d'une adresse physique et d'un patrimoine en cryptoactifs engendre des risques immédiats pour la sécurité des personnes. En France, les extorsions violentes et séquestrations ciblant les détenteurs de monnaies numériques ont connu une hausse marquée, atteignant 77 cas recensés depuis début 2026 contre 45 sur l'ensemble de l'année 2025. Cet événement rappelle d'anciens précédents majeurs du secteur, à l'image du piratage subit par Ledger en 2020 ou de la fuite interne subie par Coinbase en 2025, dont le coût global avait dépassé 400 millions de dollars. Dans le dossier actuel, l'association définitive entre une identité réelle et un solde Bitcoin fournit une base de ciblage particulièrement redoutable pour des agressions physiques.

L'affaire relance également le débat sur l'efficacité et les risques inhérents aux procédures de vérification d'identité (KYC), perçues par certains acteurs de l'écosystème comme des registres vulnérables mettant en danger les utilisateurs. Alors que les audits de sécurité informatique ne peuvent pallier l'absence de vérification humaine directe lors de la réception d'une réquisition judiciaire, l'incident démontre que le maillon faible demeure la gestion de la confiance. Alors que la firme a alerté les régulateurs financiers et la police, les clients français touchés disposent de la possibilité de saisir directement la CNIL pour signaler cette violation de leurs données personnelles au titre du RGPD.