// FRANDROID — FINANZA
Revolut face à un chantage : 680 dossiers d’identité entre les mains d’inconnus qui réclament 800 millions de dollars
Il y a une règle non écrite dans les communiqués de crise : quand une entreprise dit « limité » sans donner de chiffre, c’est que le chiffre ne lui plaît pas. Revolut a tenu trois jours. Entre la fuite de données révélée ce week-end et ce mardi, le dossier a changé de dimension. On a un nombre, un régulateur et un chantage. On a aussi une avalanche d’affirmations sur X qu’il vaut mieux trier avant de les répéter.
Pour aller plus loin
Fuite Revolut : des passeports et données clients sont diffusés sur Telegram
Rappel des faits : un tiers a envoyé à Revolut des demandes d’informations depuis une adresse e-mail hébergée sur le vrai domaine d’une agence gouvernementale. L’e-mail passait les contrôles techniques, la banque l’a traité comme une réquisition légale et a transmis les dossiers : identité, adresse, copies de passeport, selfies de vérification, IBAN, relevés et historiques de transactions, bitcoin compris.
Selon le Financial Times, Revolut a contacté 680 personnes identifiées comme touchées après une première enquête. Sur 80 millions de clients, c’est une goutte d’eau. Pour chacune des 680, c’est l’intégralité de ce qu’une banque sait de vous, parti chez un inconnu.
Pour aller plus loin
Revolut confirme avoir transmis passeports, selfies et historiques bitcoin de clients à des escrocs usurpant une agence gouvernementale
Lundi, l’Information Commissioner’s Office, l’équivalent britannique de la CNIL, a annoncé avoir ouvert une enquête.
Pour la rentrée, BNP Paribas propose une offre de bienvenue étudiante avec carte Visa incluse, paiements sans frais à l’étranger, prêt à 0,99% et jusqu’à 175€ d’avantages offerts (80€ offerts + 1 an gratuit à Esprit Libre).
Revolut s’était signalée elle-même quelques jours plus tôt, comme le RGPD britannique l’y oblige sous 72 heures. Une enquête ne préjuge de rien, mais le régulateur va regarder de près la nature des données, le nombre de personnes et surtout les garde-fous en place au moment de répondre à la demande. C’est précisément le point faible du dossier : il n’y a aucune faille technique, juste un processus de conformité qui a fait ce qu’on lui demandait.
Le Financial Times confirme aussi que des pirates revendiquant l’opération menacent de publier les données si Revolut ne paie pas. Mark Karpelès, l’ancien patron de Mt. Gox, fait partie des personnes notifiées. Il a reçu l’e-mail de Revolut à 5 h 25 le 12 septembre, a d’abord cru à une arnaque, et estime aujourd’hui que la banque n’aurait jamais dû transmettre ces informations, adresse vérifiée ou pas. Revolut, de son côté, maintient sa ligne : un porte-parole parle d’une « escroquerie sophistiquée par usurpation d’identité externe », affirme avoir bloqué l’adresse dès la détection et alerté l’agence concernée, la justice et les régulateurs, et répète que « les systèmes de Revolut et les fonds des clients ne sont pas affectés ». L’entreprise refuse toujours de commenter le nombre de clients touchés.
Depuis dimanche, un groupe qui se fait appeler « IAmNotAVillain » a ouvert un site et parle à quelques comptes X spécialisés. Ses affirmations circulent vite, souvent sans le conditionnel qui s’impose. Le groupe dit avoir opéré pendant six mois, avoir compromis des services de la police italienne et utilisé leur infrastructure de messagerie certifiée pour envoyer les demandes, détenir 147 Go de documents internes italiens, et la majorité des clients touchés seraient en Suisse et en France.