C’est une notification envoyée vendredi 11 septembre à un nombre restreint de clients qui a mis le feu aux poudres, avant d’être relayée sur Telegram par le chercheur en cybersécurité ZachXBT.

Le lendemain, la néobanque britannique a confirmé les faits auprès de TechCrunch : un tiers non autorisé a réussi à se faire passer pour une agence gouvernementale légitime afin d’obtenir des informations sur certains comptes.

Revolut, qui revendique plus de 80 millions d’utilisateurs répartis dans une trentaine de pays, évoquait un nombre « limité » de clients concernés, sans avancer de chiffre précis, ni préciser le pays ni le nom de l’agence usurpée.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Mais depuis le dimanche 13 septembre, l’affaire a pris une nouvelle tournure : ceux qui détiendraient les dossiers ont commencé à publier des supposés échantillons sur Telegram. Le piratage vire au chantage. Les hackers assurent qu’ils continueront à publier chaque jour de nouveaux dossiers tant que Revolut ne paiera pas une rançon, dont le montant n’a pas été rendu public.

Pas de piratage technique, mais une usurpation par mail

Pour rappel, contrairement à ce que l’on pourrait imaginer, cette fuite ne repose sur aucune faille informatique ni malware sophistiqué. L’auteur des faits a simplement envoyé sa demande depuis une adresse mail hébergée sur le vrai domaine de l’agence gouvernementale visée, ce qui lui a permis de passer les vérifications d’authenticité habituelles.

Revolut, comme n’importe quelle banque soumise à des réquisitions régulières de la police ou de la justice, a traité la demande comme légitime et y a répondu en conséquence, avant de découvrir la supercherie en recontactant l’agence de son côté, mais après coup, une fois les documents déjà transmis. Une véritable erreur.

Des zones d’ombre qui persistent

Selon ZachXBT, les personnes visées seraient surtout des clients disposant d’avoirs conséquents, une piste que Revolut n’a pas confirmée officiellement.

Le premier dossier rendu public concernerait un entrepreneur crypto : les attaquants auraient diffusé ce qu’ils présentent comme son dossier de vérification d’identité complet, avec un document allemand visible sur les captures. D’autres clients avaient déjà fait savoir publiquement avoir reçu la notification officielle de Revolut, parmi lesquels l’ancien patron de Mt. Gox Mark Karpelès, qui a détaillé le contenu exact du dossier envoyé par erreur : nom, date de naissance, métier, adresse, téléphone, pièce d’identité, selfie, relevés bancaires, IBAN, date d’ouverture de compte, référence de wallet, retraits et historique complet des transactions, bitcoin compris.

De son côté, Revolut n’a pour l’instant communiqué ni sur le nombre exact de clients touchés, ni sur la date d’envoi des données.

L’entreprise recommande aux personnes notifiées de surveiller leurs comptes, de se méfier de tout contact se réclamant de la banque, et d’envisager le renouvellement de leurs papiers d’identité.