La néobanque Revolut, qui a récemment obtenu sa licence bancaire française, a communiqué à certains de ses clients que leurs données avaient été compromises, car la société avait transmis des données les concernant en réponse à de fausses demandes gouvernementales, émises par une messagerie gouvernementale officielle.

Les demandes exigeaient des informations relatives aux clients conformément à la réglementation Know-Your-Customer (KYC), qui impose aux banques (traditionnelles ou en ligne) de bien connaître leurs clients, de s’assurer que la personne est bien celle qu’elle prétend être et que ses fonds proviennent d’une source légitime.

Les données compromises contiennent notamment l’identité de la personne, la copie de son passeport et les informations relatives au compte bancaire : date d’ouverture, IBAN, et historique des transactions.

Le courriel de la banque envoyé aux clients :

Que s’est-il passé ?

Revolut a reçu une demande d’informations sur un client qui semblait provenir d’un organisme public légitime. Cette demande a été envoyée depuis un compte de messagerie non autorisé, utilisant directement le domaine de messagerie officiel de cet organisme public.

La communication comportant des informations d’authentification valides pour ce domaine, elle a été traitée en partant du principe raisonnable qu’il s’agissait d’une demande authentique émanant d’un organisme public.

Quelles informations étaient concernées ?

D’après les éléments de notre enquête à ce jour, les informations fournies en réponse à cette demande pouvaient inclure :

- Données d’identité : nom complet, date de naissance, profession

- Coordonnées : adresse postale, adresse e-mail et numéro de téléphone

- Données relatives aux documents et à la vérification : une copie de votre pièce d’identité (passeport et/ou permis de conduire) et une image de vérification faciale (le selfie que vous avez fourni à des fins de vérification). Veuillez noter qu’aucune donnée biométrique de télémétrie faciale n’a été concernée ni compromise

- Données financières : relevés de compte (y compris l’IBAN, l’état du compte, la date d’ouverture, le numéro de référence du portefeuille), relevés de retrait et historique complet des transactions (y compris les transactions en Bitcoin)