Un domaine gouvernemental authentique a suffi pour obtenir des passeports et dix ans d'historique Bitcoin

Le réflexe était le bon, appliqué au mauvais message. Un mail d'une banque, envoyé un vendredi, qui parle d'urgence et de sécurité, qui annonce que des documents d'identité ont circulé : tous les signaux d'une campagne de phishing consécutive à une fuite. J'ai appris le lendemain que le message était authentique, parce que Mark Karpelès en a publié de larges extraits le 12 septembre à 07h06 UTC, et que la presse spécialisée a obtenu confirmation dans la foulée.

La fausse réquisition gouvernementale est documentée depuis 2021. Revolut y a répondu en septembre 2026.

Ce que dit la notice client, et ce que le communiqué a choisi de décrire

La notice énumère quatre familles de données. L'identité civile, avec le nom, la date de naissance et la profession. Les coordonnées, avec l'adresse postale, l'adresse électronique et le téléphone. Les pièces de vérification KYC, c'est-à-dire la copie du passeport ou du permis de conduire et le selfie pris lors de l'ouverture du compte. Les éléments financiers, enfin, avec l'IBAN, la date d'ouverture, les références de portefeuille, les retraits et l'historique complet des transactions, y compris l'activité Bitcoin.

Revolut précise qu'aucune télémétrie faciale biométrique n'était concernée. La photo du visage, elle, est partie. La distinction a un sens pour un juriste qui regarde la qualification du gabarit biométrique au sens de l'article 9 du RGPD. Elle n'en a aucun pour celui qui veut ouvrir un compte au nom de quelqu'un d'autre.

Le porte-parole de l'entreprise décrit une escroquerie d'usurpation externe sophistiquée, indique qu'un nombre limité de clients est concerné, que l'adresse a été bloquée dès la détection, et que l'agence, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers ont été alertés. Il ajoute que les systèmes Revolut et les fonds des clients ne sont pas affectés. Les deux dernières affirmations sont exactes. Elles décrivent le périmètre que l'attaquant a choisi de ne pas toucher, pendant que celui qu'il visait partait en pièce jointe.

ZachXBT, qui a rendu l'affaire publique sur sa chaîne Telegram, estime que l'opération visait des profils à fort patrimoine. Revolut n'a pas confirmé ce point, qui reste une lecture d'analyste et non un fait établi. Le nombre exact n'est pas publié, l'agence n'est pas nommée au motif d'une enquête en cours, et aucune annonce dédiée ne figure sur la page presse de Revolut au 13 septembre.

Une boîte à l'intérieur du domaine : SPF, DKIM et DMARC n'ont rien à se reprocher

Les trois protocoles que tout le monde a déployés depuis dix ans répondent chacun à une question précise. SPF vérifie que le serveur émetteur est autorisé à envoyer du courrier pour ce domaine. DKIM vérifie que le contenu du message n'a pas été modifié en transit grâce à une signature cryptographique. DMARC relie les deux et indique au serveur destinataire ce qu'il doit faire quand les contrôles échouent. Aucun des trois ne prétend établir que l'être humain derrière la boîte est habilité à demander quoi que ce soit.

D'après la notice, la boîte utilisée par l'attaquant opérait dans l'infrastructure du domaine réel de l'agence, ce qui rendait la signature authentique au sens strict. Revolut a fini par contacter l'agence pour vérifier la demande, et c'est cet appel qui a révélé l'existence d'un compte non autorisé créé dans son environnement. L'appel est arrivé après l'envoi des documents.

Le contrôle que la filière a industrialisé répond donc à la question « ce domaine autorise-t-il ce serveur ». Personne n'a construit le contrôle qui répond à la question « cette agence autorise-t-elle cette demande ». La seconde question est la seule qui comptait ici, et elle ne se traite pas dans l'en-tête d'un message.

Le procédé a quatre ans, Bloomberg l'a publié et le FBI l'a rappelé en 2024

Le 30 mars 2022, Bloomberg révélait qu'Apple et Meta avaient livré des données d'abonnés à des attaquants ayant adressé de fausses demandes de données d'urgence, ces emergency data requests qui permettent aux forces de l'ordre américaines d'obtenir des informations sans passer par un juge quand une vie est en danger. Discord a confirmé avoir traité une demande du même type. Snap en a reçu une. Certains cas remontaient à début 2021. Brian Krebs avait décrit deux jours plus tôt le marché qui s'était formé autour du procédé, avec des accès à des boîtes de police vendus sur des forums par des membres du Recursion Team, puis de Lapsus$.

Apple avait alors renvoyé les journalistes à ses propres lignes directrices destinées aux forces de l'ordre, où figurait déjà la possibilité de contacter le supérieur hiérarchique de l'agent émetteur pour confirmer le caractère authentique d'une demande d'urgence. La contre-mesure était écrite, publiée, et connue de toute la filière en 2022.

Le FBI a émis en novembre 2024 une notification au secteur privé sur ces mêmes fausses demandes émises depuis des messageries gouvernementales compromises.

Entre cette alerte et la notice du 11 septembre 2026, il s'est écoulé vingt-deux mois. Entre la publication de Bloomberg et cette même notice, quatre ans et demi.

Revolut n'est pas non plus une entreprise qui découvrirait l'ingénierie sociale. En septembre 2022, elle déclarait à l'inspection lituanienne de la protection des données un accès non autorisé à l'une de ses bases obtenu par manipulation d'un collaborateur, portant sur 50 150 clients, soit 0,16 % de sa base d'alors. Quatre ans plus tard, la cible a changé d'étage : la manipulation ne vise plus un agent du support, elle vise le processus qui répond aux autorités.

Ce que les banques exigent de leurs fournisseurs et ne s'appliquent pas à elles-mêmes

Depuis deux ans, mes clients me posent tous la même question, et elle arrive désormais par écrit, dans les questionnaires fournisseurs et dans les annexes contractuelles. Quel est votre processus si une autorité gouvernementale vous demande nos données ? L'exigence est toujours formulée dans les mêmes termes : ne rien transmettre dans l'immédiat, les contacter avant tout envoi, et vérifier par mes propres moyens que la demande est fondée.

Ces clients sont des opérateurs de l'énergie, des administrations, des assurances et des banques. Plusieurs banques figurent dans mon portefeuille, et toutes exigent ce dispositif de moi, consultant indépendant, pour des données qui sont infiniment moins sensibles qu'un passeport scanné et dix ans d'historique de transactions. Je le documente, je le teste, et il m'est audité.

L'exigence est parfaitement fondée. Ce qui la rend intéressante, c'est qu'elle descend la chaîne d'approvisionnement sans jamais remonter à son point de départ. Les mêmes organisations qui imposent à leurs fournisseurs un rappel sortant avant toute réponse à une autorité n'ont pas construit ce rappel chez elles, sur le guichet où arrivent les demandes les plus sensibles de tout leur système d'information. Revolut a répondu à une réquisition sans appeler l'agence avant d'envoyer, ce qui est exactement le comportement que ses homologues sanctionneraient chez un prestataire lors d'un audit tiers.

Pourquoi une banque régulée répond-elle plus vite à l'État qu'à son obligation de minimisation ?

Parce que les deux régulateurs qui la surveillent n'ont pas le même temps de réaction. Retarder une réquisition authentique se voit en quelques jours, se plaide mal, et peut coûter une mise en cause pénale au titre des obligations de lutte contre le blanchiment. Transmettre trop de données à un demandeur qui se révèle faux se découvre des mois plus tard, s'instruit lentement, et se termine le plus souvent par une procédure administrative. Une équipe conformité qui arbitre sous cette asymétrie choisit rationnellement le oui.

Le RGPD dit pourtant l'inverse de ce que produit cet arbitrage. L'article 6.1.c autorise un traitement fondé sur une obligation légale, dans la stricte mesure de ce que cette obligation impose. L'article 5.1.c impose que les données transmises soient adéquates, pertinentes et limitées à ce qui est nécessaire. Une demande frauduleuse ne porte aucune obligation légale, ce qui prive la transmission de toute base juridique et la qualifie en violation de données au sens de l'article 4.12, avec les obligations de notification des articles 33 et 34. L'indicateur qui pilote les équipes de conformité reste le délai de réponse aux autorités. Aucun tableau de bord ne mesure le taux de demandes rejetées pour défaut de vérification, parce que personne ne le demande en comité d'audit. Le processus fait donc exactement ce pour quoi il est mesuré.

Combien d'établissements ont reçu la même demande, et pourquoi personne ne peut le vérifier ?

Karpelès a posé la seule question opérationnelle qui compte, et elle reste sans réponse. Tant que l'agence et l'adresse ne sont pas identifiées, aucune autre banque, aucune plateforme d'échange, aucun assureur ne peut rechercher cette adresse dans son propre journal de demandes légales. Revolut a bloqué la boîte dans ses systèmes. Ce blocage protège Revolut.

Une boîte non autorisée a existé assez longtemps dans l'infrastructure d'une agence gouvernementale pour préparer une demande crédible, l'envoyer, recevoir des passeports et des historiques de transactions, et probablement recommencer ailleurs. La durée de vie de ce compte est l'information la plus utile de tout le dossier. Elle n'est pas publiée. Le secret de l'enquête protège l'enquêteur, et il couvre aussi le mode opératoire pendant que d'autres établissements continuent de traiter des demandes émises depuis le même domaine.

Il existe un précédent de méthode. Après les révélations de 2022, plusieurs plateformes américaines ont mis en place des annuaires de correspondants et des procédures de confirmation partagées. La différence tient à ce que la filière technologique a pu s'organiser sans attendre les États, tandis que la filière bancaire dépend de canaux de coopération judiciaire qu'elle ne contrôle pas.

Le guichet de réquisition, angle mort des certifications

Comme lead auditor ISO 27001, je n'ai jamais vu un processus de réponse aux demandes d'autorité présenté comme une mesure testée, avec une preuve d'exécution du rappel sortant et un échantillon d'audit. La mesure 5.31 de l'annexe A demande d'identifier et de documenter les exigences légales, réglementaires et contractuelles applicables. La mesure 5.34 traite de la protection des données à caractère personnel. Ni l'une ni l'autre ne prescrit de vérifier, par un canal indépendant, l'identité de l'autorité qui réclame une pièce d'identité. Le sujet apparaît donc en audit sous la forme d'une liste d'obligations tenue à jour, pas d'un contrôle avec un taux d'échec et une piste d'audit.

DORA couvre le risque lié aux prestataires informatiques tiers, la gestion des incidents et les tests de résilience. Le guichet qui répond aux réquisitions n'entre dans aucune de ces catégories, parce qu'il n'est pas un actif technique mais une procédure juridique. SOC 2 le traite au mieux dans le critère de confidentialité, sans exigence de rappel. La demande d'autorité traverse ainsi tous les référentiels sans jamais être testée par personne.

La comparaison qui rend la chose difficile à défendre se trouve à l'intérieur même de la banque. Un changement d'IBAN sur un compte fournisseur déclenche depuis dix ans un rappel sortant sur un numéro connu, une validation à quatre yeux et une trace opposable, parce que la fraude au faux fournisseur a coûté assez cher pour que le contrôle devienne obligatoire. Le même établissement applique ce dispositif à un virement de cinquante mille euros et ne l'applique pas à la sortie d'un passeport, d'un selfie de vérification et de dix ans d'activité financière nominative. Le virement se rappelle. La pièce d'identité repart sans être réversible.

Ce qui protégerait réellement une demande d'autorité

Un rappel sortant obligatoire avant toute transmission de pièce d'identité, vers un interlocuteur préenregistré, sur un canal choisi par le destinataire et indépendant du message reçu. Le principe est celui de la validation des changements de coordonnées bancaires, il est connu, il est outillé, et il ne demande aucune technologie nouvelle.

Un annuaire opposable des autorités requérantes, publié et tenu par chaque État, avec des identités de service vérifiables et un canal de rebouclage que les établissements ont l'obligation d'utiliser. Tant qu'un message qui passe DMARC suffit à obtenir un passeport, la messagerie gouvernementale reste l'outil le plus rentable du marché de la donnée personnelle.

Un périmètre de réponse borné à ce que la demande désigne nommément, de sorte qu'un selfie et un historique Bitcoin complet ne sortent pas parce qu'un courriel a réclamé le dossier entier. Une double validation humaine dont l'un des deux valideurs est extérieur à la ligne qui traite la demande. Un journal opposable, horodaté, exploitable en audit et communicable au régulateur.

Du côté de Revolut, trois chiffres manquent et sont publiables sans nuire à l'enquête : le nombre de personnes concernées, la date de transmission, et le nombre de demandes traitées depuis cette boîte. Du côté des régulateurs bancaires et des autorités de protection des données, une question suffirait à changer l'état de la filière en un trimestre : demander à chaque établissement supervisé de produire la preuve d'un rappel sortant sur les trois dernières réquisitions traitées, avec la date et l'interlocuteur.

La seule notification que Revolut ait envoyée ressemblait assez à une arnaque pour que je la supprime, et rien n'a été publié sur son site. Les clients concernés qui ont eu le même réflexe que moi ignorent encore que leur passeport est parti.

À lire également

• 153 millions de pièces d'identité en vente, et pas une seule volée à un imprudent
• DGFiP : ils le savaient depuis fin juin, vous l'apprenez le 13 août
• Le 1er janvier 2027, la France vérifiera l'identité de tous ses adultes
• La cybersécurité ne doit pas devenir un enjeu de la présidentielle
• Les gestes concrets, par profil d'utilisateur, sont regroupés sur etrecyber.fr.

Sources

• Revolut, notice adressée aux clients concernés, diffusée le 11 septembre 2026, dont de larges extraits ont été publiés par Mark Karpelès (@MagicalTux) le 12 septembre 2026 à 07h06 UTC et par l'enquêteur ZachXBT sur sa chaîne Telegram.
• Revolut, déclarations transmises à TechCrunch, CoinDesk et BeInCrypto, 12 septembre 2026.
• TechCrunch, Revolut confirms customer data breach through fake government requests, 12 septembre 2026, et CoinDesk, 12 septembre 2026.
• The Crypto Times, Decrypt et CryptoSlate, 12 septembre 2026, pour le détail des contrôles SPF, DKIM et DMARC tel que décrit dans la notice.
• Bloomberg, enquête sur les fausses demandes de données d'urgence adressées à Apple, Meta, Discord et Snap, 30 mars 2022, et Krebs on Security, 29 et 31 mars 2022.
• FBI, notification au secteur privé sur les fausses demandes de données d'urgence émises depuis des messageries gouvernementales compromises, novembre 2024.
• Inspection nationale de la protection des données de Lituanie, déclaration relative à l'incident Revolut de septembre 2022, 50 150 clients concernés.
• Office of the Comptroller of the Currency, Corporate Decision #1390, approbation conditionnelle préliminaire de Revolut Bank US, 3 septembre 2026.
• Cybernews et heise online, annonce de vente de 75 millions d'enregistrements attribués à Revolut, 25 au 30 juillet 2026, et démenti de Revolut sur l'absence de correspondance des identifiants.
• ISO/IEC 27001:2022, annexe A, mesures 5.31 et 5.34.
• Règlement (UE) 2016/679, articles 4.12, 5.1.c, 6.1.c, 9, 33 et 34.