Revolut a confirmé la divulgation d’informations sensibles de clients à un tiers non autorisé après avoir reçu de fausses demandes provenant du domaine de messagerie légitime d’une agence gouvernementale. L’incident a exploité l’autorité apparente d’un canal externe, et non une intrusion signalée dans les systèmes centraux de Revolut.
L’entreprise a parlé d’un nombre très limité de clients concernés et assuré les avoir tous prévenus. Elle n’a fourni aucun chiffre exact; l’ampleur ne doit donc pas être transformée en estimation plus grande ou plus précise sans confirmation supplémentaire.
Les informations exposées comprendraient dates de naissance, adresses postales et électroniques, numéros de téléphone et copies de pièces d’identité, dont passeports et permis de conduire. Ces catégories peuvent faciliter l’usurpation et l’hameçonnage ciblé même sans accès aux fonds.
Revolut a affirmé que ses systèmes et l’argent des clients n’avaient pas été affectés. Cette distinction limite l’impact opérationnel confirmé, mais n’efface pas le risque pour la vie privée lorsque des documents durables et coordonnées parviennent à un destinataire non autorisé.
Après détection, la société dit avoir bloqué l’adresse utilisée. Elle a aussi alerté l’agence concernée, les forces de l’ordre, les autorités de protection des données et les régulateurs financiers, plaçant sous examen le canal trompeur et les contrôles de vérification de Revolut.
L’épisode illustre une défaillance capable de contourner les défenses techniques périphériques. Un message peut venir d’un domaine légitime tout en contenant une demande non autorisée; il faut donc vérifier le requérant, son autorité juridique, la portée et une voie de contact indépendante avant toute divulgation.
La fuite intervient alors que Revolut envisage une éventuelle cotation et viserait une valorisation pouvant atteindre 200 milliards de dollars. Ces ambitions sont distinctes de l’incident, mais réponse réglementaire, coûts de correction et confiance peuvent peser sur l’évaluation de la gouvernance d’une fintech.
Les prochains éléments attendus sont le nombre confirmé de clients, l’inventaire complet des données, la durée des demandes et tout usage abusif démontré. En attendant, la conclusion défendable est une divulgation grave mais limitée, sans compromission confirmée des systèmes ni des fonds des clients.
