• Les pirates ont exigé 6 000 Monero (XMR), environ 3 millions de dollars, en menaçant de vendre des données Revolut dérobées.

• Au moins 680 comptes Revolut exposés, incluant des passeports, des photos KYC et des relevés de transactions.

• Les attaquants ont utilisé un e-mail provenant d’un domaine gouvernemental pour faire passer des demandes frauduleuses de données au-delà des contrôles de Revolut.

Une rançon de 3 M$ en Monero

Les pirates à l’origine de la violation des données de Revolut sont passés du vol à l’extorsion, exigeant publiquement 6 000 Monero (XMR) — soit environ 3 millions de dollars — en échange du fait de ne pas mettre en ligne les enregistrements clients dérobés sur des marchés criminels. Le groupe, qui se fait appeler « iamnotavillain », a publié sa demande mercredi et a menacé de vendre l’ensemble de données à d’autres organisations criminelles si la fintech refuse de payer. Au moins 680 comptes clients sont concernés. Les informations exposées comprennent des passeports, des permis de conduire, des photos de vérification d’identité utilisées lors des contrôles KYC, ainsi que des historiques détaillés de transactions — des documents qui, contrairement aux mots de passe, ne peuvent pas être « remis à zéro » une fois qu’ils ont fuité. Revolut, qui n’a pas divulgué de chiffres exacts, décrit le nombre de clients touchés comme « limité » et indique n’avoir reçu aucune demande de rançon directe. Le choix du Monero s’inscrit dans la logique criminelle : Monero (XMR) est une cryptomonnaie axée sur la confidentialité qui dissimule par défaut les montants des transferts et les contreparties, rendant le traçage des paiements bien plus difficile que sur des registres transparents comme Algorand (ALGO) ou Stellar (XLM), raison clé pour laquelle les équipes d’extorsion s’y rabattent à répétition. Comme la conception du Monero masque même la question de savoir si un paiement a eu lieu, Revolut aurait du mal à vérifier la conformité — un avantage intégré pour l’extorqueur. La responsabilité plus profonde concerne le lien, pas les fichiers eux-mêmes : une identité vérifiée rattachée à une richesse observable en chaîne transforme un portefeuille anonyme en cible nominative et localisable. Les documents divulgués alimentent aussi l’usurpation d’identité, permettant à des réseaux de fraude d’ouvrir des comptes au nom d’une victime ou de mener des opérations de manipulation sociale convaincantes. Le levier des attaquants repose sur l’urgence et la peur — un levier plus proche du phishing classique que de la psychologie boursière familière, dominée par le FOMO — et, une fois que ces documents circulent, aucun changement de mot de passe ne permet de les « effacer ».

De fausses demandes gouvernementales ont ouvert la voie

Le propre récit de Revolut sur la façon dont les enregistrements ont quitté ses systèmes pointe davantage vers une défaillance de processus que vers une exploitation technique. Les attaquants ont utilisé un compte e-mail appartenant à un domaine gouvernemental officiel pour soumettre des demandes frauduleuses d’informations d’urgence. Ces demandes ont passé les contrôles internes de vérification de l’entreprise, et le personnel a transmis les données avant que l’usurpation d’identité ne soit détectée. La société a qualifié l’incident de « fraude sophistiquée par usurpation d’identité externe » et indique qu’elle a bloqué l’adresse frauduleuse dès qu’elle a eu connaissance du stratagème. Elle affirme que ses systèmes principaux ainsi que les fonds de ses clients n’ont jamais été compromis, et qu’elle a notifié des organismes gouvernementaux, les forces de l’ordre et des régulateurs. Des affirmations non confirmées ajoutent une couche supplémentaire : le groupe indique aussi avoir violé un système de messagerie e-mail d’un gouvernement italien et avoir mené une analyse blockchain afin d’identifier les clients de Revolut détenant de grandes quantités de crypto — une assertion que l’entreprise n’a pas corroborée. Mark Karpelès, l’ancien responsable de Mt. Gox, a confirmé qu’il faisait partie des personnes touchées, en publiant une notification de Revolut indiquant que les détails de sa transaction Bitcoin avaient été divulgués. L’enquêteur on-chain ZachXBT a estimé que l’opération relevait d’une démarche délibérée plutôt que d’une opportunité, visant des utilisateurs disposant d’importantes richesses. La dimension de sécurité physique est quantifiable : Chainalysis a documenté 124,1 millions de dollars de pertes dans 52 incidents confirmés de « wrench attack » en 2026, tandis que CertiK a enregistré 33 des 52 cas confirmés en France au cours du premier semestre de l’année, avec des intrusions au domicile passant d’un cas au S1 2025 à 20. Les deux firmes avertissent que leurs chiffres sous-estiment la véritable ampleur des dégâts, car de nombreuses victimes ne signalent jamais ces attaques. Pour les utilisateurs ordinaires, le risque est de « long terme » : toute notification concernant l’ouverture d’un compte ou une autorisation en leur propre nom mérite désormais d’être scrutée, car le vol d’identité fondé sur des fichiers KYC divulgués peut refaire surface des mois plus tard.

Les données KYC deviennent la surface d’attaque

Le lien entre la note de rançon et la méthode de la brèche, c’est que ce sont les données d’identité — et non les coins — qui étaient le but, et que la vulnérabilité relevait du processus, pas du code. L’évaluation des risques de la Banque européenne (ABE/EBA) de juin 2026 classe déjà la cybersécurité et la sécurité des données comme premier moteur du risque opérationnel dans le secteur bancaire, devant la fraude — une hiérarchie que cet incident illustre précisément. Une étude du régulateur britannique (FCA) sur les consommateurs montre que 73 % des utilisateurs britanniques de crypto acquièrent des actifs via des plateformes centralisées, ce qui signifie que l’exposition se concentre exactement là où vivent les données KYC. Pour le bureau de COINOTAG, la leçon durable est la minimisation des données et la vérification indépendante des demandes qui semblent officielles ; certains clients devront aussi réévaluer la quantité d’exposition liée à l’identité qu’ils conservent sur des plateformes centralisées par rapport aux parcours en auto-conservation, comme Bitcoin DeFi, un sujet de conservation que notre guide des Meilleures plateformes d’échanges crypto aborde désormais en détail.