Le 12 septembre 2026, Revolut a confirmé que des informations sensibles concernant certains clients avaient été transmises à un tiers non autorisé. Le point central de l’affaire est inhabituel : les fraudeurs n’ont pas eu besoin de pénétrer le cœur du système bancaire. Ils ont envoyé des demandes qui semblaient provenir d’une administration parce qu’elles utilisaient le domaine électronique légitime de cette institution.
Selon Reuters, Revolut affirme que ses systèmes et les fonds des clients n’ont pas été affectés. Le Financial Times estime qu’environ 680 personnes ont été informées. Les données potentiellement communiquées comprennent des coordonnées personnelles et des copies de documents d’identité. L’autorité britannique de protection des données a été saisie et l’enquête n’est pas terminée.
L’intérêt de cet incident dépasse largement le nombre de clients concernés. Il révèle une catégorie de risque souvent moins surveillée que l’authentification des paiements : la sécurité des procédures par lesquelles une institution financière transmet légalement des informations à une autorité.
Reconstituer la chaîne de compromission
Les faits publics permettent de construire une chaîne d’attaque probable, sans prétendre remplacer les conclusions de l’enquête.
Premièrement, les attaquants ont obtenu l’usage d’une adresse appartenant à un domaine administratif légitime. L’adresse exacte a ensuite servi à présenter une demande d’informations comme une démarche officielle. Deuxièmement, le domaine de l’expéditeur a vraisemblablement joué le rôle d’un signal de confiance. Troisièmement, des données ont été communiquées avant que le caractère frauduleux de la demande ne soit détecté.
Le contrôle a donc échoué entre la réception et la divulgation. Cette distinction est importante. Un courriel peut être techniquement authentique, au sens où il provient bien du domaine affiché, tout en étant fonctionnellement frauduleux parce que la personne qui l’utilise n’est pas autorisée à formuler la demande.
La relation suivante résume le problème :
Authenticité du canal ≠ autorité du demandeur ≠ légitimité de la demande.
Ces trois dimensions doivent être vérifiées séparément.
Le domaine électronique ne suffit pas comme preuve
Dans de nombreuses organisations, les demandes provenant d’une police, d’un tribunal ou d’un régulateur sont traitées par des équipes juridiques, conformité ou opérations. Les contrôles peuvent inclure la vérification du domaine de messagerie, la présence d’une signature, la référence à une enquête et l’examen du fondement juridique.
L’affaire Revolut montre la limite d’un dispositif qui accorde trop de poids au premier élément. Si la messagerie de l’autorité est compromise, ou si un compte légitime est utilisé abusivement, le domaine devient un vecteur de contournement.
Une procédure robuste devrait combiner au moins cinq contrôles indépendants :
- vérifier l’identité et la fonction du demandeur dans un annuaire officiel ;
- confirmer la demande par un canal obtenu indépendamment du courriel reçu ;
- valider le numéro de dossier, la base juridique, le périmètre et la période concernés ;
- imposer une double approbation pour les données sensibles ;
- limiter la réponse aux seules informations strictement nécessaires.
La double approbation ne doit pas devenir une simple répétition mécanique. Le second contrôleur doit pouvoir contester l’identité du demandeur, la proportionnalité de la réponse et la qualité de la preuve d’autorisation.
Mesurer le risque avant de communiquer
Une demande officielle peut être évaluée selon un score interne fondé sur quatre familles de variables :
- demandeur : ancienneté de la relation, fonction, coordonnées et historique ;
- requête : volume de clients, sensibilité des données, urgence et période couverte ;
- comportement : changement de formulation, fréquence inhabituelle ou nouvelle plage horaire ;
- preuve juridique : mandat, décision, référence vérifiable et juridiction compétente.
Une demande portant sur un seul client et correspondant à un dossier déjà connu ne présente pas le même profil qu’une demande urgente, formulée par un nouveau contact, visant plusieurs catégories de données. La seconde devrait déclencher une confirmation renforcée et, si nécessaire, une suspension temporaire.
Le modèle ne remplace pas la décision juridique. Il sert à rendre les écarts visibles et à empêcher qu’un signal de confiance unique ne suffise à autoriser la divulgation.
Pourquoi les documents d’identité aggravent l’impact
Un mot de passe compromis peut être modifié. Une copie de passeport, une date de naissance ou une adresse historique restent exploitables beaucoup plus longtemps. Leur combinaison peut faciliter l’usurpation d’identité, l’ouverture de comptes, la prise de contrôle de services ou des attaques ciblées contre la victime.
L’impact ne doit donc pas être mesuré uniquement par le nombre de personnes concernées. Il faut également considérer la sensibilité, la permanence et la capacité de combinaison des données divulguées. Une population réduite exposée avec des dossiers d’identité complets peut représenter un risque plus durable qu’une base beaucoup plus large contenant uniquement des adresses électroniques.
Ce que les institutions africaines doivent en retenir
Les banques, fintechs, opérateurs de mobile money et prestataires de paiement africains reçoivent eux aussi des demandes provenant de la police, des tribunaux, des cellules de renseignement financier et des régulateurs. Une partie de ces échanges reste traitée manuellement, parfois dans l’urgence et avec des niveaux de maturité numérique différents selon les administrations.
Le premier enseignement consiste à inclure les équipes juridiques et conformité dans le périmètre de la cybersécurité opérationnelle. Le deuxième est de convenir avec les autorités de mécanismes vérifiables : portails sécurisés, certificats, répertoires de contacts, identifiants de dossiers et procédures de rappel. Le troisième est d’enregistrer chaque étape afin qu’un audit puisse établir qui a demandé quoi, qui a vérifié l’autorisation et quelles données ont finalement été transmises.
La sécurité du paiement commence aussi hors du paiement
Revolut indique avoir bloqué l’adresse concernée et alerté l’administration ainsi que les autorités compétentes. Les résultats de l’enquête devront préciser comment les demandes ont été validées, quelles données exactes ont été communiquées et si les contrôles ont été appliqués conformément aux procédures internes.
À ce stade, il serait prématuré d’attribuer une responsabilité juridique définitive. En revanche, le diagnostic opérationnel est déjà clair : protéger le compte du client et le moteur de paiement ne suffit pas. Une procédure périphérique capable de libérer des données sensibles appartient pleinement au système de sécurité.
La question à poser après cet incident est simple : si une demande officielle arrive demain, l’institution vérifiera-t-elle uniquement l’adresse qui l’envoie, ou l’autorité réelle de la personne qui se trouve derrière ?
