Un faux e-mail gouvernemental est passé à travers les contrôles de sécurité de Revolut cette semaine, exposant des adresses résidentielles, des documents d’identité et des historiques de transactions Bitcoin appartenant à un groupe de clients.
La demande semblait provenir d’une agence gouvernementale légitime et s’accompagnait de justificatifs qui ont passé les contrôles de Revolut. La société a communiqué des informations clients avant de contacter séparément l’agence et de découvrir que la demande était frauduleuse, selon des avis envoyés aux utilisateurs concernés.
Les fichiers contenaient, selon les informations, des passeports ou des permis de conduire, des selfies de vérification, des noms, des dates de naissance, des professions, des adresses à domicile, des e-mails, des numéros de téléphone, des IBAN, des relevés de compte, des historiques de retraits et des historiques de transactions complets, y compris toute l’activité Bitcoin.
Revolut n’a pas divulgué le nombre de clients concernés et n’a pas répondu immédiatement à une demande de commentaire de CoinDesk. Dans sa notification, elle a indiqué que les fonds des clients restaient en sécurité, et a informé les utilisateurs concernés et les régulateurs tout en bloquant la source de la demande.
L’échec était une autorisation, pas un chiffrement
Aucun système n’a été compromis au sens conventionnel.
Une fois la demande validée par les contrôles internes de Revolut, une personne se faisant passer pour un responsable gouvernemental a accédé aux mêmes informations très personnelles que la banque avait collectées pour satisfaire aux exigences d’identité et de conformité.
Cette distinction compte pour toute personne qui évalue sa propre exposition ailleurs. Le chiffrement, le stockage à froid et la journalisation des accès répondent à un modèle de menace tout à fait différent. Un processus qui libère légitimement des données à des demandeurs vérifiés échoue lorsque la vérification elle-même est la cible.
Les institutions financières reçoivent régulièrement des demandes de données provenant de gouvernements, et le volume crée une pression en faveur d’un traitement efficace. Un attaquant n’a qu’à faire réussir une seule fois le contrôle des identifiants.
L’IA rend cette catégorie d’attaque plus accessible à grande échelle
Des e-mails convaincants, des documents, des identités et des requêtes bureaucratiques deviennent peu coûteux à produire en volume, tandis que les entreprises financières continuent de conserver des enregistrements de plus en plus détaillés sur qui sont leurs clients, où ils vivent et comment ils déplacent leur argent.
Ce mélange change l’économie. Pour usurper de manière convaincante une agence gouvernementale une première fois, il fallait des connaissances spécifiques sur la mise en forme des agences, les structures de référence et les conventions linguistiques. Celles-ci sont désormais reproductibles à partir d’exemples publics, à un coût marginal quasi nul.
La charge défensive augmente en conséquence. Chaque institution détenant des données sensibles doit désormais vérifier l’autorité entrante face à une menace capable de générer des tentatives plausibles en quantité illimitée.
La combinaison des données : le risque spécifique
Bitcoin rend l’exposition exceptionnellement concrète.
La blockchain enregistre les transactions publiquement. Les informations personnelles — passeport, adresse du domicile, profession — se trouvent en dehors du réseau. Les intermédiaires financiers font le lien entre ces deux ensembles, transformant une base de données clients en une carte reliant une personne réelle à son activité on-chain.
ZachXBT, enquêteur on-chain, qui a attiré l’attention sur l’incident, a déclaré dans une diffusion Telegram que la violation semblait limitée en taille et qu’elle pouvait avoir ciblé des utilisateurs fortunés.
Si cette évaluation est correcte, le schéma de sélection compte davantage que le volume. Une demande ciblée visant des comptes présentant des soldes élevés produit un profil de risque sensiblement différent d’une extraction massive, parce qu’elle suggère que le demandeur savait déjà ce qu’il cherchait.
Les clients touchés encourent immédiatement un risque de représailles par phishing, qui utilise les informations exposées pour paraître crédible — un interlocuteur qui connaît votre adresse, votre solde et vos transactions récentes est nettement plus difficile à écarter. Toute personne notifiée devrait traiter tout contact non sollicité faisant référence à son compte Revolut avec une prudence particulière et vérifier indépendamment via les canaux officiels.
Ceux qui détiennent des avoirs importants devraient également envisager leur posture de sécurité physique, étant donné que les informations d’adresse et de solde apparaissaient ensemble.
Les preuves à connaissance nulle trouvent un cas d’usage concret
L’incident donne à la technologie de la confidentialité une application immédiate, plutôt qu’une idée théorique.
Les systèmes à connaissance nulle permettent à quelqu’un de prouver qu’un contrôle d’identité a été effectué, ou qu’un client satisfait à une exigence donnée, tout en révélant moins d’informations — telles que le passeport, l’adresse ou les données sous-jacentes — utilisées pour l’établir.
La différence architecturale est ce qui compte ici. Dans les arrangements actuels, pour satisfaire une exigence de conformité, l’institution conserve les documents sous-jacents indéfiniment, et tout manquement ultérieur expose l’ensemble. Dans un système fondé sur la preuve, l’institution conserve une attestation plutôt que la source.
Un attaquant qui réussit à usurper l’identité d’une agence gouvernementale auprès d’un système basé sur ZK reçoit une confirmation que les contrôles ont été validés. Il n’obtient ni un scan de passeport, ni une adresse personnelle.
La question évolue : passer de la protection à la collecte
À mesure que l’usurpation d’identité devient plus facile, le problème de sécurité passe de la qualité de protection des données clients par les institutions à la quantité d’informations sensibles qu’elles doivent collecter, conserver et divulguer.
Ce recadrage a des implications réglementaires que le cadre de conformité n’a pas traitées. Les exigences de connaissance du client (KYC) ont été conçues autour d’un modèle de menace où l’institution était le détenteur de confiance et où le risque provenait d’une intrusion externe. Elles ne tiennent pas compte du fait que l’institution peut être amenée, par manipulation sociale, à divulguer volontairement des informations.
Chaque champ supplémentaire qu’une entité réglementée doit collecter élargit l’ensemble de données disponibles en cas de défaillance de ce type. Le cadre de conformité et le résultat en matière de sécurité fonctionnent l’un contre l’autre, et l’incident de Revolut est une démonstration plutôt qu’un argument.