Fuite de données chez Revolut: quand la mauvaise autorité demande

Revolut a transmis des données clients parce que des demandes ressemblaient à des requêtes officielles d'information. L'entreprise a confirmé l'incident le 12 septembre auprès de Reuters: un tiers non autorisé a utilisé une adresse e-mail sous un domaine authentique d'autorité. Une question se trouve dès lors au centre, qui dépasse la sécurité d'une application bancaire: comment une banque vérifie-t-elle qui est habilité à demander des documents privés?

Ce qui est établi – et ce qu'affirment les attaquants

Le Financial Times a fait état d'environ 680 clients concernés. Dans son article sur les auteurs présumés, il indique, en se fondant sur leurs déclarations, que la plupart des personnes touchées venaient de Suisse et de France. Les attaquants affirment avoir obtenu des données pendant des mois via un système de messagerie d'une autorité italienne compromis. Aucune répartition confirmée de manière indépendante pour la Suisse ne figure dans les sources analysées ici. «680 personnes concernées» ne devient donc pas «680 victimes suisses».

Le FT cite notamment des données de pièces d'identité et d'adresses parmi les informations divulguées. Selon son article, Revolut a déclaré que ses propres systèmes et les fonds de ses clients étaient sûrs. Cette déclaration est pertinente, mais elle répond à une autre question: des données peuvent perdre leur confidentialité sans qu'aucun argent ne disparaisse du compte.

La précision s'impose aussi en matière d'extorsion. Reuters a rapporté le 16 septembre une demande de trois millions de dollars décrite par le FT. Revolut a déclaré à ce sujet n'avoir pas été contactée directement et n'avoir reçu aucune demande directe. Une menace diffusée publiquement et une sommation de paiement parvenue à l'entreprise ne sont pas la même chose.

Une faille connue dans les échanges avec les autorités

Dès le 4 novembre 2024, le FBI a mis en garde dans une communication publique contre précisément cette classe d'attaques: des criminels utilisaient des comptes de messagerie d'autorités américaines et étrangères compromis pour adresser à des entreprises américaines de fausses demandes urgentes de données. Dans de telles procédures, l'urgence alléguée crée une pression supplémentaire pour transmettre rapidement les informations.

Cet avertissement n'établit pas le déroulement concret chez Revolut. Il montre toutefois que le danger de principe est documenté depuis des années. Un domaine authentique ne confirme pas à lui seul que la personne qui se trouve derrière est habilitée et que le contenu d'une demande est exact.

Le FBI recommande aux destinataires de vérifier notamment la plausibilité des bases légales invoquées, des signatures et des logos inhabituels. En cas de doute, ils doivent prendre contact avec l'expéditeur et l'autorité compétente. La communication documente aussi une demande frauduleuse rejetée adressée à PayPal. De telles attaques ne sont donc pas nécessairement couronnées de succès.

Pour Revolut, des questions concrètes subsistent: quel contrôle a eu lieu avant la transmission? L'instance compétente a-t-elle été vérifiée de manière indépendante? Et a-t-on contrôlé si l'étendue et le contenu des données demandées correspondaient au but allégué? Les prises de position publiques analysées ne répondent pas à ces questions.

L'expansion suisse exige une confiance vérifiable

L'incident intervient à un moment où Revolut veut développer son rôle en Suisse. Le 16 septembre, l'entreprise a annoncé avoir déposé auprès de la FINMA une demande de licence bancaire suisse. Plus de 150 millions de francs doivent être investis sur cinq ans. Il s'agit dans les deux cas de déclarations de l'entreprise; l'investissement est une annonce, pas un montant déjà engagé.

Selon ses propres indications, Revolut compte plus de 1,3 million de clients dans le pays. Ceux-ci sont actuellement suivis par Revolut Bank UAB, licenciée en Lituanie. La banque suisse prévue créerait une nouvelle structure locale. Selon Revolut, la procédure est pendante et son issue ouverte.

L'annonce d'une demande de licence ne clarifie toutefois pas un incident de données. Inversement, la fuite seule ne permet pas de tirer une conclusion solide sur la future décision de la FINMA. Pour les clients, ce qui compte pour l'instant, c'est une information compréhensible indiquant quels documents personnels sont concernés et quels contrôles doivent empêcher à l'avenir une nouvelle transmission.