Fuite de données Revolut : les fichiers sont publics, voici que faire

Lorsque la copie de votre pièce d'identité, votre selfie de vérification et l'intégralité de votre historique de transactions Bitcoin se retrouvent réunis dans un même lot entre des mains étrangères, un nouveau mot de passe n'apporte presque rien. C'est la situation des clients prévenus par Revolut depuis le 14 septembre 2026 : les documents dérobés sont publiés depuis cette nuit-là. Quatre choses comptent désormais. Établissez par écrit l'étendue de votre propre exposition. Fermez les voies par lesquelles une copie de pièce d'identité se transforme en argent. Prenez au sérieux le lien entre votre adresse de domicile et vos avoirs en cryptomonnaies. Et faites valoir vos droits auprès de la banque tant que les délais courent.

Ce texte prolonge notre première analyse. Pour savoir si vous faites partie des personnes concernées et quel rôle joue votre historique Bitcoin dans l'affaire, reportez-vous à Fuite de données Revolut : suis-je concerné, et qu'en est-il de mon historique Bitcoin ?, publié le 12 septembre. Il s'agit ici de l'étape suivante : les informations sont dehors, et cela change la question de l'action à mener.

Fuite de données Revolut : que faire depuis que les fichiers sont publiés ?

Jusqu'au week-end, l'incident de sécurité se résumait à une sortie de données clients. Depuis la nuit du 14 septembre, Cointelegraph rapporte que des copies de documents d'identité et de selfies de vérification appartenant à des clients de Revolut ont fait surface en ligne. Selon le média spécialisé, les assaillants annoncent sur Telegram qu'ils publieront chaque jour de nouveaux jeux de données jusqu'à ce que Revolut paie. Une personne concernée a confirmé à Cointelegraph que les détails publiés correspondent aux documents déposés chez Revolut et que la néobanque lui a écrit vendredi.

Un point compte pour l'analyse : l'existence d'une demande de rançon relève de la version des assaillants, relayée par un média spécialisé qui cite une publication Telegram. Revolut elle-même ne confirme aucune demande de ce type. Une somme précise en bitcoins circule en outre sur des agrégateurs comme prétendue rançon. Ce chiffre ne repose sur aucune preuve solide, raison pour laquelle il n'apparaît pas ici comme un fait.

La différence pratique avec la semaine précédente n'en reste pas moins considérable. Tant qu'un jeu de données se trouve uniquement entre les mains d'un groupe criminel, il faut un acheteur avant qu'il ne soit utilisé contre vous. Dès qu'il devient accessible publiquement, cette étape intermédiaire disparaît, et le nombre de fraudeurs possibles passe d'un groupe à quiconque trouve le fichier.

Les champs de données que Revolut énumère dans son courriel aux clients

Le service spécialisé BleepingComputer cite mot pour mot la notification que Revolut a envoyée aux personnes concernées. Selon ce texte, l'incident porte sur le nom complet, la date de naissance, la profession, l'adresse postale, l'adresse électronique et le numéro de téléphone. S'y ajoutent des copies de la carte d'identité ou du permis de conduire, les selfies issus du contrôle d'identité, des relevés de compte avec l'IBAN, des enregistrements de retraits et l'intégralité de l'historique des transactions, y compris les transactions en bitcoins.

Revolut évoque un nombre limité d'utilisateurs touchés, sans avancer de chiffre. Selon l'entreprise, ni ses propres systèmes n'ont été compromis, ni les fonds des clients n'ont été touchés. Les deux affirmations sont plausibles et ne changent pas grand-chose à votre situation. Le préjudice de cette affaire n'atteint pas votre solde. Il se loge dans les documents.

La sortie des données a été déclenchée, selon l'entreprise, par une demande falsifiée qui ressemblait à une demande d'information émanant d'une autorité publique. Ces demandes d'urgence sont une procédure établie : en cas de danger imminent, les autorités réclament des données d'abonné sans attendre la voie judiciaire ordinaire. La demande falsifiée provenait d'un véritable domaine administratif et a passé les contrôles techniques d'authentification de l'expéditeur. La faiblesse se situait précisément là. Un courriel techniquement signé de manière correcte prouve que le domaine est authentique. Il ne prouve pas que la demande qui se cache derrière est légitime.

Pourquoi une copie de pièce d'identité ne relève pas du numéro de blocage allemand 116 116

Le premier réflexe de beaucoup de personnes concernées est de faire bloquer leur pièce d'identité. En Allemagne, cela passe par le numéro de blocage gratuit 116 116, et c'est dans ce cas la mauvaise démarche. Ce qui y est bloqué, c'est la fonction d'identification en ligne, c'est-à-dire l'eID inscrite dans la puce de la carte d'identité. Cette fonction exige la carte physique et le code à six chiffres. Une copie numérisée ne peut pas la déclencher.

Votre carte d'identité se trouve toujours dans votre tiroir, et l'eID n'est pas la porte d'entrée. Le risque se situe chez tous les prestataires qui acceptent un fichier image d'une pièce d'identité comme justificatif : courtiers en crédit, opérateurs de téléphonie mobile, vendeurs à distance proposant le paiement sur facture et certaines plateformes d'échange aux contrôles faibles. Un blocage de l'eID y serait sans effet et ne ferait que vous priver des démarches administratives numériques.

Un autre ensemble de mesures est en revanche efficace. Portez plainte auprès de la police, en ligne par le guichet numérique de votre région ; le numéro de dossier sera plus tard votre justificatif face à tout créancier qui réclamerait une dette contractée en votre nom. Demandez une copie gratuite de vos données auprès des grandes agences d'information sur la solvabilité et vérifiez si des contrats que vous n'avez jamais conclus y figurent. Et programmez un rappel, car l'usurpation d'identité au moyen de copies de pièces d'identité ne se manifeste souvent que des mois plus tard. L'Office fédéral allemand de la sécurité des technologies de l'information détaille les différentes étapes pour les victimes de fuites de données et de doxing.

Scan d'identité et selfie KYC réunis : le problème du contrôle de vivacité

Un scan de pièce d'identité isolé constitue un risque connu. La combinaison d'une copie de pièce d'identité et du selfie issu du même contrôle relève d'un autre ordre de grandeur, car c'est précisément ce couple qui sert de justificatif standard à l'ouverture d'un compte. De nombreux prestataires exigent une photo du document et une image du visage, et certains rapprochent les deux automatiquement.

La protection contre cela s'appelle le contrôle de vivacité ; elle doit établir si une personne vivante se tient devant la caméra ou s'il s'agit d'une image photographiée. Les bons procédés exigent des mouvements de tête, des motifs lumineux changeants ou une capture de profondeur ; les procédés faibles se contentent d'une image fixe téléversée. Là où seule une image fixe est demandée, un selfie de vérification divulgué est immédiatement exploitable.

Il en découle une tâche concrète pour les utilisateurs de cryptomonnaies : regardez auprès de quelles plateformes votre pièce d'identité est déposée et fermez les comptes que vous n'utilisez plus. Chaque inscription mise en sommeil, c'est une copie de vos documents en moins dans la nature. Là où vous restez actif, activez l'authentification à deux facteurs par une application dédiée ou une clé de sécurité plutôt que par SMS, car le numéro de téléphone fait partie de cette fuite. Quelles plateformes travaillent effectivement sous supervision en Allemagne et comment le vérifier : notre panorama des plateformes crypto réglementées le détaille.

Historique des transactions Bitcoin entre des mains étrangères : ce que permet le regroupement d'adresses

La partie du lot qui distingue cet incident d'une fuite de données bancaire ordinaire, c'est l'historique des transactions. Bitcoin est une base de données publique : chaque virement figure dans la chaîne, consultable par tous. Ce qui manque à la chaîne, c'est le rattachement d'une adresse à une personne. Or un relevé de compte assorti d'enregistrements de retraits livre exactement ce rattachement, gratuitement.

Le regroupement d'adresses désigne le procédé qui permet de déduire tout un ensemble d'adresses à partir d'une seule adresse connue : lorsque plusieurs adresses apparaissent ensemble comme entrées d'une transaction, elles appartiennent très probablement au même portefeuille. Quiconque connaît l'une de vos adresses de retrait peut poursuivre le calcul et aboutit souvent à une estimation de vos avoirs totaux. Cette technique n'est ni nouvelle ni interdite ; les sociétés d'analyse et les enquêteurs l'emploient depuis des années. La nouveauté, c'est que le point de départ traîne désormais en public.

La question qui vient à l'esprit est de savoir s'il faut changer d'adresses. Pour les paiements futurs oui, pour le passé c'est impossible. Une transaction inscrite dans la chaîne ne se récupère pas. Concrètement : utilisez des adresses neuves pour les nouvelles entrées, évitez de réunir anciens et nouveaux avoirs dans une même transaction, et pour les montants importants renoncez à les faire entrer et ressortir par la même plateforme.

Adresse du domicile et avoirs en cryptomonnaies : évaluer froidement le risque physique

L'enquêteur on-chain ZachXBT analyse l'incident en estimant que la fuite paraît de faible ampleur, mais semble viser délibérément des utilisateurs fortunés. Il s'agit de son appréciation et non d'un fait établi ; elle mérite néanmoins attention, car elle correspond à la structure des données : adresse postale, date de naissance et profession, associées à un historique Bitcoin traçable, composent un profil qui dépasse la finalité habituelle de l'hameçonnage.

Nous avons déjà décrit ce schéma à deux reprises, en dernier lieu lors de la fuite de données Trezor de septembre, où les noms, numéros de téléphone et adresses de domicile d'acheteurs de portefeuilles matériels avaient été exposés. La leçon vaut ici tout autant. Ne parlez pas de montants dans le voisinage ni au téléphone. Accueillez avec méfiance les avis de colis et les prétendus rappels du service bancaire, même si votre nom, votre date de naissance et votre dernier prélèvement sont cités correctement. Ce sont précisément ces éléments qui figurent dans le lot, et un correspondant qui les connaît n'a rien prouvé pour autant.

Concrètement, cela signifie aussi : instaurez pour vous-même une règle de rappel auprès de votre banque et de vos plateformes. Aucune opération commencée au téléphone ne se conclut au téléphone. Raccrochez et composez le numéro figurant dans l'application ou sur le relevé de compte. Cette seule habitude vide de sa valeur l'essentiel de ce qu'un cybercriminel peut faire de vos documents.

Que faire si votre compte Revolut a été piraté ?

Une distinction importante d'abord : aucun compte n'a été pris en main lors de cet incident. Selon l'entreprise, des documents ont été livrés ; des identifiants de connexion n'ont pas été dérobés. Si votre compte est réellement contrôlé par un tiers, une autre procédure s'applique, et elle commence par le blocage.

Bloquez la carte dans l'application et, si vous n'avez plus accès, par le service client de la banque. Signalez sans délai tout prélèvement non autorisé ; en droit des services de paiement, un paiement non autorisé vous est en principe remboursé tant que vous n'avez pas agi avec négligence grave, et la banque doit apporter la preuve de l'autorisation. Modifiez ensuite le mot de passe de votre messagerie électronique, car elle est le passe-partout de tous les autres accès. Vérifiez enfin les appareils et les connexions associés à tous les comptes qui utilisent la même adresse électronique, et éjectez les sessions inconnues.

Consignez chacune de ces étapes par écrit, avec la date et l'heure. Quiconque réclame plus tard des dommages et intérêts ou conteste une créance a besoin de ce relevé.

Les prochaines semaines : un plan de vérification à dates fixes

L'usurpation d'identité consécutive à une violation de sécurité démarre rarement tout de suite. Des semaines, parfois des mois, séparent la sortie des données de la première attaque menée en votre nom, car les jeux de données doivent d'abord être triés, fusionnés et transmis. Un plan de vérification à dates fixes agit donc mieux qu'un unique après-midi fébrile.

Cette semaine : envoyer la demande d'accès au titre de l'article 15, porter plainte, basculer partout l'authentification à deux facteurs sur une application ou une clé de sécurité. Notez en outre quelles adresses postales et quel numéro de téléphone étaient déposés auprès de la néobanque. Celui qui recevra plus tard un message reprenant exactement ces éléments saura immédiatement à quelle source puise l'expéditeur.

Dans quatre semaines : demander la copie de vos données auprès des agences d'information sur la solvabilité et la passer au crible des inscriptions que vous ne connaissez pas ; toute demande de crédit que vous n'avez jamais formulée est un signal d'alarme. Dans le même passage, parcourez les journaux de connexion de vos comptes les plus importants et signalez tout accès depuis une région où vous ne vous trouviez pas.

Au bout de trois mois puis de six : la même chose une nouvelle fois. Tant que votre passeport circule sous forme de fichier image, il conserve sa valeur pour les fraudeurs jusqu'à sa date d'expiration.

Il faut renoncer en chemin à une attente. Les services de vérification qui promettent de repérer vos données sur le dark web fouillent en réalité une base de collections déjà connues. De tels systèmes fournissent des indications utiles sur des incidents anciens et ne vous donnent pour autant aucun feu vert concernant un incident récent, car on n'y voit que ce qui a déjà été échangé publiquement. Fiez-vous aux informations de votre propre réponse au titre de l'article 15 plutôt qu'à un voyant vert.

Vos droits au titre du RGPD : accès selon l'article 15, réclamation selon l'article 77

La notification envoyée par Revolut découle d'une obligation de l'article 34 du règlement général sur la protection des données : lorsqu'une violation est susceptible d'engendrer un risque élevé pour les personnes concernées, l'entreprise doit informer sans délai. Ce courriel vous dit toutefois seulement que vous êtes concerné, et non dans quelle mesure.

L'étendue, vous l'obtenez par l'article 15 du RGPD, le droit d'accès. Réclamez par écrit une copie des données traitées à votre sujet et, expressément, l'indication des catégories communiquées à quels destinataires. Le délai est d'un mois et peut être prolongé de deux mois si l'entreprise le motive. Cette réponse est la seule preuve solide de ce qui a effectivement été livré dans votre cas, et elle est gratuite.

Si aucune réponse n'arrive, ou une réponse inutilisable, l'article 77 du RGPD prend le relais : réclamation auprès d'une autorité de contrôle, y compris expressément celle de votre lieu de résidence habituelle. Pour les clients allemands, il s'agit de l'autorité de protection des données de leur Land. Le fait que Revolut Bank UAB ait son siège en Lituanie et que l'autorité de ce pays soit compétente selon la procédure de l'autorité chef de file n'y change rien ; votre autorité régionale reçoit la réclamation et la transmet. La succursale allemande de Berlin relève par ailleurs de la supervision de la BaFin, qui n'est toutefois pas compétente en matière de protection des données.

Sur les dommages et intérêts au titre de l'article 82 du RGPD, la situation en Allemagne est plus claire depuis l'arrêt de la Cour fédérale de justice du 18 novembre 2024 (référence VI ZR 10/24) : la simple perte de contrôle sur ses propres données peut constituer un préjudice moral indemnisable, sans qu'un usage abusif doive être démontré. La perte de contrôle elle-même, vous devez toutefois l'exposer. Le montant dépend du cas d'espèce, et les sommes accordées jusqu'ici se situent dans les basses centaines d'euros.

Revolut est-il surveillé par le fisc ? Ce qui s'applique depuis 2026 avec DAC8

Cette question revient après chaque incident de ce genre, et la réponse n'a rien à voir avec la fuite. Personne n'est surveillé. Ce qui est déclaré automatiquement depuis le 1er janvier 2026 est autre chose : la loi allemande sur la transparence fiscale des cryptoactifs transpose la directive européenne DAC8 en droit national et oblige les prestataires de services sur cryptoactifs à recenser et à transmettre les données clients et transactionnelles pertinentes sur le plan fiscal. La première période déclarative est l'année civile 2026, et la transmission à l'Office central fédéral des impôts doit intervenir avant le 31 juillet 2027.

Pour vous, cela a deux conséquences. Les informations que les prestataires crypto détiennent à votre sujet iront plutôt en augmentant qu'en diminuant, et une comptabilité personnelle propre n'est plus une option. Une somme déclarée n'est en outre pas votre gain : ce qui est déclaré, ce sont des produits et des opérations, tandis que les coûts d'acquisition ne sont connus que de votre propre documentation. Qui ne la tient pas négocie plus tard face à un chiffre auquel il n'a rien à opposer. Un suivi de portefeuille avec rapport fiscal règle exactement ce problème.

Extorsion, rançon, millions d'enregistrements : ce qui est établi et ce qui ne l'est pas

Plusieurs récits circulent en parallèle autour de cet incident de sécurité, et les différences comptent pour votre appréciation.

Établie est la notification aux personnes concernées, ainsi que la liste des champs de données, parce que Revolut l'a envoyée elle-même et qu'un service spécialisé la reproduit mot pour mot. Il est également établi que des copies de documents d'identité et de selfies de vérification ont fait surface publiquement ; une personne concernée a confirmé la correspondance à Cointelegraph.

Affirmée est l'extorsion. La menace de publication quotidienne provient d'une publication Telegram attribuée aux auteurs présumés. Une entreprise victime d'extorsion le confirme rarement, et Revolut ne le fait pas ici. Qui mentionne la demande devrait préciser qui la formule.

Contestée est une affaire plus ancienne qui remonte à la surface : au cours de l'été, une base de données censée contenir des dizaines de millions d'enregistrements Revolut a été proposée sur le dark web dans les forums spécialisés. Des médias allemands en ont rendu compte, Revolut en a démenti l'authenticité et évoqué des éléments compilés à partir d'autres sources. Cet épisode doit être distingué du cas actuel. Qui mélange les deux aboutit à un nombre de personnes concernées que personne n'a établi.

Pour aborder les jours à venir, cela signifie : attendez-vous à un hameçonnage très convaincant. Qui connaît votre nom, votre date de naissance, votre IBAN et vos dernières transactions n'écrit plus un courriel indigent. Le seul critère fiable reste le canal, non le contenu. Une véritable banque ne vous demande jamais par courriel ou par téléphone de transférer des avoirs sur un compte de sécurité, de saisir une phrase de récupération ou d'installer un logiciel de prise en main à distance. Au moindre doute, passez par l'application que vous avez installée vous-même.

L'autoconservation comme conséquence : quand un portefeuille matériel raccourcit la trace

Cette affaire met au jour une caractéristique des solutions de conservation qui reste invisible au quotidien : celui qui détient des cryptoactifs chez un prestataire y laisse, à côté de son solde, un dossier d'identité complet. C'est ce dossier qui constitue l'objet réel de l'incident. Un portefeuille matériel ne change pas tout, mais il raccourcit la trace en un point décisif : le solde ne se trouve ensuite plus chez un tiers, et la défaillance ou la fuite de données de ce tiers ne vous sépare plus de vos jetons.

Il faut néanmoins rester honnête. L'achat lui-même génère à nouveau des données, comme le montre la fuite Trezor évoquée plus haut ; ne commandez donc jamais à une adresse qui est aussi votre domicile, si vous pouvez l'éviter, et achetez exclusivement auprès du fabricant ou de revendeurs agréés. Le transfert d'une plateforme vers votre propre portefeuille est de surcroît visible dans la chaîne et peut être relié aux relevés de compte. Et la responsabilité de la phrase de récupération vous incombe ensuite entièrement. L'autoconservation est un déplacement du risque, non sa suppression.

Pour le reste, celui qui doit demeurer sur une plateforme, le choix se fait sur la supervision et la pratique de conservation. Interrogez sur la ségrégation des avoirs, sur l'identité du conservateur et sur l'agrément au titre duquel il travaille.

Fuite de données Revolut : ce qu'il faut en retenir

1. Établissez votre exposition par écrit. Demandez dès aujourd'hui l'accès au titre de l'article 15 du RGPD et notez la date d'envoi. Sans cette liste, vous discuterez plus tard sur des suppositions. En parallèle, vérifiez quelles plateformes détiennent la copie de votre pièce d'identité et fermez les comptes inutilisés ; notre panorama des plateformes crypto réglementées montre ce qui compte pour celles que vous conservez.
2. Séparez identité et avoirs. Utilisez des adresses de réception neuves, ne réunissez pas anciens et nouveaux avoirs dans une même transaction et transférez en conservation personnelle la part que vous détenez sur le long terme. Le comparatif des portefeuilles matériels nomme les appareils ainsi que leurs faiblesses.
3. Mettez votre comptabilité en ordre avant la première déclaration DAC8. Des données d'acquisition sans lacune constituent, à partir de la période déclarative 2026, votre seul contre-argument face à une somme déclarée. Un outil fiscal et de suivi de portefeuille prend en charge la collecte.

(Au 14 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)