Community Trust ScoreVérifié
Un pirate a trompé Revolut en obtenant des copies de passeports et des données sensibles appartenant à 680 clients — puis a exigé une rançon de 10 000 Bitcoins. La méthode était audacieuse : l’attaquant s’est fait passer pour un agent légitime des forces de l’ordre italiennes, exploitant les réglementations de l’UE qui obligent les entreprises à se conformer à certaines demandes de données. Revolut, apparemment convaincu que la demande était réelle, a remis les données.
Lyudmyla Kozlovska de Open Dialogue a signalé la mécanique de l’attaque. Le pirate n’a pas percé un pare-feu ni forcé une base de données. Il a simplement demandé, en portant le bon costume. Et le système a obéi.
Le problème structurel du KYC
C’est en quelque sorte tout le problème des processus traditionnels de connaissance du client (KYC). Ils fonctionnent en collectant d’énormes quantités de données personnelles — passeports, selfies, preuves d’adresse — et les stockent indéfiniment. Chaque institution qui utilise le KYC construit essentiellement un coffre au trésor : rempli de vrais noms, de vrais visages, de vrais numéros de documents. Les pirates le savent. C’est pourquoi les entreprises financières sont des cibles si attrayantes.
La violation de Revolut ne s’est pas produite isolément. Rien qu’en 2026, 343 millions de personnes aux États-Unis ont été touchées par des violations de données. Ce n’est pas une erreur d’arrondi. C’est un échec structurel à grande échelle, et cela va probablement empirer avant que quelqu’un ne le corrige.
Le problème n’est pas que Revolut ait fait quelque chose d’unique ou d’imprudent. C’est que toute l’industrie fonctionne sur un modèle qui crée ces vulnérabilités par conception. Les équipes de conformité collectent plus de données qu’elles n’en ont besoin, les stockent plus longtemps que nécessaire, puis croisent les doigts pour que leur sécurité tienne. Souvent, ce n’est pas le cas.
Et le cadre réglementaire de l’UE, censé protéger les citoyens, a été ici instrumentalisé. L’attaquant savait qu’une entreprise confrontée à une demande d’apparence officielle des forces de l’ordre au sein de l’UE a de fortes incitations à se conformer rapidement. Refuser expose à des répercussions réglementaires. Le pirate a donc exploité cette pression. Intelligent, d’une manière profondément cynique.
Preuves à divulgation nulle : meilleures en théorie
Il existe une meilleure approche, essentiellement inutilisée. Les preuves à divulgation nulle — une méthode cryptographique qui permet de vérifier qu’une chose est vraie sans révéler les données sous-jacentes — pourraient changer la façon dont fonctionne la vérification d’identité. Au lieu de remettre une copie de passeport, un utilisateur pourrait prouver qu’il a plus de 18 ans, ou qu’il est un citoyen vérifié de l’UE, sans que l’institution ne voie jamais le document brut.
L’UE se dirige déjà dans cette direction. Ses cadres d’identité numérique sont en cours de construction pour prendre en charge la divulgation sélective — l’idée que vous ne partagez que ce qui est nécessaire pour une transaction spécifique, rien de plus. Les portefeuilles d’identité numérique, encore en cours de déploiement, sont conçus avec cette logique à l’esprit. Vous prouvez votre âge pour acheter quelque chose de restreint par l’âge. Vous ne remettez pas tous les détails de votre passeport pour une transaction qui n’en a pas besoin.
C’est un modèle plus propre. Moins de données stockées signifie moins de données à voler.
Mais ce n’est pas encore largement déployé dans le KYC financier. Pas même proche.
Pourquoi l’adoption est bloquée
Le Groupe d’action financière — GAFI — offre en fait des directives qui permettent aux systèmes d’identité numérique de vérifier les clients sans nécessiter le stockage de documents physiques. Donc le plafond réglementaire n’est pas aussi bas que la plupart des institutions le pensent. Mais les directives sont suffisamment ambiguës pour que les équipes de conformité se rabattent sur ce qu’elles connaissent : collecter le document, stocker l’image, passer à autre chose.
Cette ambiguïté cause de réels dommages. Les institutions ne stockent pas toutes ces données parce qu’elles le veulent. Elles les stockent parce que personne ne leur a clairement dit qu’elles n’ont pas à le faire. Et quand les régulateurs sont vagues, les avocats et les responsables de la conformité deviennent conservateurs. Conservateur signifie plus de données, rétention plus longue, cibles plus grandes.
Les preuves à divulgation nulle font également face à un mur pratique : l’interopérabilité. Pour que la vérification d’identité cryptographique fonctionne dans un système financier, chaque institution impliquée doit accepter et valider les mêmes preuves. Cela nécessite des normes partagées. Actuellement, ces normes ne sont pas largement établies. Une banque en Allemagne et une bourse crypto à Singapour ne travaillent pas à partir du même manuel.
Donc la technologie existe. La permission réglementaire existe probablement, au moins partiellement. Mais l’infrastructure pour que tout fonctionne ensemble — cela manque encore.
En attendant, les équipes de conformité continuent de faire ce que font les équipes de conformité. Elles collectent des passeports. Elles stockent des selfies. Elles construisent des coffres au trésor.
Et les pirates, apparemment, continuent de trouver de nouvelles façons de demander poliment les clés.
La demande de rançon de 10 000 Bitcoins liée à la violation de Revolut est toujours en suspens — aucun détail sur le paiement ou le refus.
Hub : Prix, actualités et analyses du Bitcoin
Hub: Bitcoin : prix, actualités et analyse
Questions Fréquentes
Que s’est-il exactement passé dans la violation de données de Revolut ?
Un pirate s’est fait passer pour un agent des forces de l’ordre italiennes et a utilisé les obligations de conformité réglementaire de l’UE pour tromper Revolut et obtenir des données sensibles de clients, y compris des copies de passeports, affectant 680 clients. L’attaquant a ensuite exigé une rançon de 10 000 Bitcoins.
Qu’est-ce que les preuves à divulgation nulle et comment se rapportent-elles au KYC ?
Les preuves à divulgation nulle sont des méthodes cryptographiques qui permettent à une partie de vérifier des attributs d’identité — comme l’âge ou la citoyenneté — sans que l’institution vérificatrice ne voie jamais les données personnelles brutes, ce qui signifie que moins d’informations sensibles sont stockées et potentiellement volées.
Pourquoi c'est important
Ce piratage met en lumière les vulnérabilités croissantes auxquelles sont confrontées les entreprises de services financiers face à des techniques de manipulation de plus en plus sophistiquées. L'incident soulève des questions cruciales sur la protection des données personnelles et la responsabilité des entreprises dans la vérification des demandes d'accès aux informations sensibles. Dans un contexte où la confiance des consommateurs est primordiale, ce type d'attaque pourrait avoir des répercussions significatives sur la réputation et la sécurité des acteurs du marché.
