Affaire Revolut: Comment une Adresse Institutionnelle a pu servir à une Fuite de données

Revolut a transmis des données de clients à des fraudeurs se présentant comme une autorité publique. Environ 680 personnes seraient concernées, selon une estimation du Financial Times relayée par ANSA le 15 septembre.

Une PEC italienne utilisée pour obtenir les données

Les demandes seraient parties d’une messagerie certifiée italienne, une PEC liée à la préfecture de Reggio de Calabre, qui aurait été compromise. Des pièces d’identité, informations bancaires et historiques de transactions figurent parmi les données évoquées. La police postale italienne enquête, rapporte ANSA.

Revolut affirme que ses systèmes et les fonds des clients n’ont pas été touchés. La banque indique avoir bloqué l’adresse, prévenu les autorités compétentes et contacté les personnes concernées après la découverte de la fraude.

Parmi les clients cités, Mark Karpelès a relayé l’alerte sur X le 12 septembre. Voici sa publication originale :

Revolut customers were targeted in a fraudulent emergency data request sent via an email at a "government agency." https://t.co/sS2sbwAt8r

— Mark Karpelès (@MagicalTux) September 12, 2026

Données KYC : la confidentialité reste au cœur du problème

L’absence de vol d’argent ne rend pas la divulgation anodine. Le KYC (Know Your Customer, ou « connaissance du client ») désigne les vérifications réalisées par une banque pour identifier ses clients. Elles peuvent notamment s’appuyer sur une pièce d’identité et un justificatif de domicile. Ces documents ne peuvent pas être communiqués sur la seule foi d’une adresse officielle. Le RGPD impose notamment une base juridique valable, la minimisation des données et leur confidentialité.

ANSA relève qu’un acte de l’autorité judiciaire, normalement attendu pour les demandes décrites, aurait manqué. Ce point mérite d’être établi par l’enquête : on ne peut pas généraliser l’obligation d’une ordonnance à toute transmission, mais une demande frauduleuse ne devient pas légitime parce qu’elle utilise un domaine gouvernemental.

La question concerne donc aussi les contrôles de Revolut : qui a autorisé la remise, sur quel fondement et après quelles vérifications ? Les éléments publics ne permettent pas, à eux seuls, de trancher sa responsabilité juridique.

🔎 Les précautions utiles, sans dramatiser

Pour les clients concernés, mieux vaut consulter les notifications dans l’application et se méfier des messages réutilisant leurs informations personnelles. Pour une entreprise qui reçoit une demande de données, le réflexe clé reste de vérifier l’autorité et le fondement juridique par un canal indépendant, avant toute transmission.