Violation de données chez Revolut : la fausse demande des autorités rapportée

Dernière révision : 6 octobre 2026 · Ne constitue pas un conseil juridique

Les entreprises soumises à des obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) tiennent un dossier de connaissance du client (KYC). Ce dossier contient une copie des documents et informations obtenus au titre des mesures de vigilance à l'égard de la clientèle, ainsi que les enregistrements des transactions.^[6][7] Il est conservé pour permettre aux autorités de mener leurs enquêtes.^[6] La violation de données signalée chez Revolut montre ce qui peut se produire lorsque le demandeur n'est pas une autorité.

Aucune déclaration n'a été trouvée sur un canal appartenant à Revolut. Les propos de Revolut sont donc reproduits tels que cités par le média indiqué.

Ce qui s'est passé dans la violation de données chez Revolut

Le 12 septembre 2026, Reuters a rapporté que Revolut avait confirmé que des informations sensibles de clients avaient été communiquées à un tiers non autorisé après que l'entreprise a reçu des demandes frauduleuses provenant d'un domaine de messagerie légitime d'une agence gouvernementale.^[12] Un porte-parole de Revolut a déclaré à TechCrunch : « Revolut a récemment identifié une escroquerie sophistiquée par usurpation d'identité externe, dans laquelle un tiers non autorisé a utilisé une adresse électronique sur un domaine légitime d'une agence gouvernementale pour soumettre des demandes d'informations frauduleuses. »^[13]

Reuters cite le porte-parole : « Les systèmes de Revolut et les fonds des clients ne sont pas affectés. » Et sur la réponse apportée : « Dès la détection, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée ainsi que les services répressifs, les autorités de protection des données et les régulateurs financiers. »^[12]

Les clients concernés avaient reçu un avis par courrier électronique la veille, le vendredi 11 septembre, selon BankInfoSecurity, dont l'éditeur a examiné le message.^[15] Security Affairs cite l'avis : « La communication comportant des identifiants d'authentification de domaine valides, il y a été donné suite en croyant raisonnablement qu'il s'agissait d'une demande authentique d'une agence gouvernementale. »^[19]

Une ligne par média ; les listes ne sont pas fusionnées.

Selon BankInfoSecurity, l'avis ajoute : « Veuillez noter qu'aucune donnée de télémétrie biométrique faciale n'a été concernée ni compromise. »^[15]

Reuters a rapporté que Revolut qualifiait le nombre de clients de « très limité », et TechCrunch a indiqué que l'entreprise avait refusé de révéler l'identité de l'agence.^[12][13] Le chiffre et l'agence proviennent du gouvernement italien. Le 18 septembre 2026, le sous-secrétaire à l'Intérieur a indiqué à la Chambre des députés que Revolut avait notifié un possible incident à l'agence nationale de cybersécurité italienne (ACN) le 12 septembre. Le 15 septembre, Revolut a confirmé avoir fourni les données de 680 clients, dont huit Italiens, et les avoir informés.^[1] Dans la même réponse, le gouvernement a indiqué que Revolut avait signalé la compromission d'une adresse de courrier électronique certifiée (PEC) liée à la Prefettura di Reggio Calabria, un bureau local du ministère de l'Intérieur.^[1]

Le droit applicable : règles relatives aux violations de données et conservation des documents en matière de LCB-FT

En vertu du RGPD, une divulgation non autorisée peut constituer une violation de données à caractère personnel, et les articles 33 et 34 fixent les obligations de notification.^[3] Les règles LCB-FT expliquent pourquoi le dossier existe.

Une divulgation peut constituer une violation de données à caractère personnel

L'article 4(12) du règlement général sur la protection des données (RGPD) de l'UE définit la violation de données à caractère personnel comme incluant « la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données ».^[3]

Article 33(1)Règlement (UE) 2016/679

« En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. »

Source : EUR-Lex, Règlement (UE) 2016/679^[3]

L'article 33(1) du UK GDPR commence par les mêmes termes.^[4] En vertu de l'article 34, lorsque le risque pour les personnes est susceptible d'être élevé, le responsable du traitement doit aussi les informer « dans les meilleurs délais » et « en des termes clairs et simples ».^[3] La politique de confidentialité clients de Revolut désigne l'Information Commissioner's Office (ICO) comme son autorité au Royaume-Uni et la State Data Protection Inspectorate (VDAI) de Lituanie pour l'Espace économique européen.^[10]

Pourquoi le dossier existe : cinq ans de conservation au titre de la LCB-FT

L'article 40 de la quatrième directive anti-blanchiment (AMLD4) impose aux entités assujetties de conserver une copie des documents et informations relatifs à la vigilance à l'égard de la clientèle pendant cinq ans après la fin de la relation, afin que la cellule de renseignement financier (CRF) et les autres autorités compétentes puissent prévenir et détecter le blanchiment de capitaux et enquêter sur celui-ci.^[6] L'article 40 des Money Laundering Regulations 2017 du Royaume-Uni fixe la même durée de cinq ans comme minimum.^[7] À compter du 10 juillet 2027, l'article 77 du règlement anti-blanchiment de l'UE (AMLR) prend le relais dans l'UE.^[5]

L'article 41 de l'AMLD4 prévoit que les traitements effectués au titre de la directive sont soumis au RGPD.^[6] Les deux séries d'obligations s'appliquent au même dossier.

Ce que les autorités peuvent demander

Une règle à venir est précise. À compter du 10 juillet 2027, l'article 78 de l'AMLR imposera aux entités assujetties de disposer de systèmes leur permettant de répondre, « par des canaux sécurisés », aux demandes de la CRF ou d'autres autorités compétentes visant à savoir si elles entretiennent ou ont entretenu, au cours des cinq années précédentes, une relation d'affaires avec des personnes déterminées, et quelle en est la nature.^[5] Il s'agit d'une obligation de réponse à une demande précise, et non d'une liste de tout ce que les autorités peuvent obtenir.

Au Royaume-Uni, les lignes directrices de l'ICO, actuellement en cours de révision, indiquent : « Vous ne devez partager que des données personnelles limitées à ce qui est demandé et à ce qui est raisonnable. »^[9]

Qui est concerné

En novembre 2024, le Federal Bureau of Investigation (FBI) américain a alerté sur « une tendance à l'utilisation d'adresses électroniques compromises de gouvernements américains et étrangers pour adresser des demandes frauduleuses de données en urgence à des entreprises établies aux États-Unis ».^[8]

Chronologie : de l'alerte du FBI au parlement italien

1. 4 novembre 2024Alerte du FBIAvis sur les demandes frauduleuses de données en urgence.^[8]
2. 12 septembre 2026RévélationReuters rapporte que Revolut a confirmé la divulgation.^[12]
3. 15 septembre 2026RégulateursCity AM publie des déclarations de l'ICO et de la FCA.^[16]
4. 18 septembre 2026ParlementLe gouvernement italien confirme la compromission d'une boîte aux lettres ministérielle et 680 clients concernés.^[1]
5. 30 septembre 2026MinistreLe ministre de l'Intérieur déclare devant le parlement que la demande aurait dû être vérifiée.^[2]

Prochaine date fixe : l'AMLR s'applique à compter du 10 juillet 2027.^[5]

Ce que les équipes conformité doivent faire dès maintenant

Security Affairs cite l'avis de Revolut, selon lequel la demande « comportait des identifiants d'authentification de domaine valides ».^[19] Réussir l'authentification de domaine ne prouve pas que le demandeur est habilité à recevoir des données clients. Le FBI a décrit l'utilisation d'adresses électroniques gouvernementales compromises pour des demandes frauduleuses et recommande de contacter « l'expéditeur et l'autorité d'origine » lorsqu'une demande suscite un doute.^[8] Les mesures ci-dessous reflètent mon analyse, et non une liste établie par un régulateur.

• Vérifiez chaque nouveau demandeur au moyen de coordonnées que vous avez trouvées vous-même.
• Ne partagez que ce qui est demandé et raisonnable, et consignez-en la justification.^[9]
• Exigez un second contrôleur avant que des documents, des selfies ou des historiques de transactions ne sortent de l'entreprise.
• Suivez les demandes par expéditeur, afin qu'une boîte aux lettres qui interroge sur de nombreux clients soit repérée.
• Répétez qui notifie l'autorité de contrôle : dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.^[3]
• Supprimez les données personnelles à la fin de la durée de conservation LCB-FT lorsqu'aucune autre base légale ne s'applique.^[6][7]

Ce qui reste ouvert au 6 octobre 2026

La dernière déclaration officielle date du 30 septembre 2026. Le ministre de l'Intérieur a indiqué à la Chambre des députés que la demande provenait d'une boîte PEC nommée « entilocali », rattachée à la préfecture et dont on a découvert ensuite qu'elle n'avait jamais été utilisée. Selon lui, la société pouvait et devait vérifier la demande avec un minimum de diligence, compte tenu du décalage entre les données demandées et leur source.^[2] Il s'agit de l'avis d'un ministre, pas de la conclusion d'un régulateur.

• Un porte-parole de l'ICO a déclaré à City AM le 15 septembre : « Nous confirmons avoir reçu un signalement et nous évaluons les informations fournies. » La Financial Conduct Authority (FCA) a indiqué à City AM qu'elle était « en contact avec l'entreprise ».^[16]
• L'autorité italienne de protection des données (Garante per la protezione dei dati personali) a indiqué dans une actualité datée du 18 septembre 2026 avoir demandé aux banques de vérifier la présence de messages « anormaux » provenant de la même boîte, et avoir demandé à son homologue lituanienne de confirmer si Revolut lui avait notifié une violation.^[20]
• La page d'actualités de la VDAI ne contenait aucune déclaration sur l'incident lors de la consultation du 6 octobre 2026.^[11]
• En Italie, une procédure pénale pour accès non autorisé à un système informatique d'intérêt public est enregistrée auprès du parquet de Reggio Calabria. Les deux réponses parlementaires ne précisent pas comment la boîte a été compromise.^[1][2]
• Les sources examinées n'établissent ni le pouvoir légal invoqué dans les demandes, ni la date à laquelle Revolut en a pris connaissance.

Comment Didit vous aide pour le dossier KYC que vous conservez

Didit ne vérifie pas l'authenticité d'une demande émanant d'une autorité, et rien dans la vérification d'identité de Didit n'aurait bloqué une demande comme celle-ci. Ce que fait Didit se situe à côté : Didit effectue la vérification qui produit la copie du document et le selfie, et vous permet de contrôler leur durée de conservation.

Une vérification KYC complète (document, détection du vivant et correspondance faciale) coûte $0.33 ; voir les tarifs.

Pour préparer l'article 77 : consultez notre page AMLR.

Questions fréquentes

Sources

1. Resoconto stenografico, seduta n. 711, interpellanza urgente n. 2-00925, Camera dei deputati, 18 septembre 2026.
2. Resoconto stenografico, seduta n. 717, interrogazione n. 3-02906, Camera dei deputati, 30 septembre 2026.
3. Règlement (UE) 2016/679 (règlement général sur la protection des données), EUR-Lex, articles 4(12), 5(1), 32, 33 et 34.
4. UK GDPR, article 33, legislation.gov.uk.
5. Règlement (UE) 2024/1624 (AMLR), EUR-Lex, articles 77, 78 et 90.
6. Directive (UE) 2015/849 (AMLD4), version consolidée, EUR-Lex, articles 40 et 41.
7. Money Laundering Regulations 2017, regulation 40, legislation.gov.uk.
8. Private Industry Notification 20241104-001 sur les fausses demandes de données d'urgence, FBI, 4 novembre 2024.
9. Sharing personal data with law enforcement authorities, Information Commissioner's Office, mis à jour le 29 septembre 2023, en cours de révision.
10. Customer Privacy Notice, Revolut, en vigueur depuis le 1er janvier 2025.
11. Liste des actualités, State Data Protection Inspectorate of Lithuania (VDAI), consulté le 6 octobre 2026.
12. Revolut confirms sensitive customer data breach after fake government requests, Reuters, 12 septembre 2026.
13. Revolut confirms customer data breach through fake government requests, TechCrunch, 12 septembre 2026.
14. Revolut handed customer data to fraudsters using government email account, The Record, 14 septembre 2026.
15. Revolut Reveals Data Breach Tied to Faked Official Request, BankInfoSecurity, 14 septembre 2026.
16. Revolut hackers stole nearly 700 customers' private data, City AM, 15 septembre 2026.
17. Hackers say they breached Italian state email to target Revolut 'crypto whales', Financial Times, 15 septembre 2026.
18. Revolut says no direct demand received over alleged data breach, Reuters, 16 septembre 2026.
19. Revolut exposed KYC data after fraudulent government email passed security checks, Security Affairs, 12 septembre 2026.
20. L'Autorità Garante della Privacy e il caso Revolut, Garante per la protezione dei dati personali, actualité du 18 septembre 2026 (doc. web 10297881).

Les règles LCB-FT imposent aux entités assujetties de conserver le dossier KYC. Ce qu'une entreprise maîtrise, c'est qui peut le demander, quelle part en sort et combien de temps il est conservé. Pour la partie vérification de ce dossier, voir la vérification d'identité avec Didit.