> ## Content Index > Fetch the complete content index at: https://apar.tv/llms.txt > Use this file to discover other available public pages before exploring further. # Revolut : quand le faux policier frappe à la bonne adresse - URL: https://apar.tv/revolut-quand-le-faux-policier-frappe-a-la-bonne-adresse/ - Published: 2026-09-13T16:41:59.000Z - Updated: 2026-09-13T16:41:59.000Z - Description: Des demandes frauduleuses parties d’un domaine gouvernemental légitime ont entraîné une divulgation de données clients. Le point faible se situe dans la confiance accordée à la demande, pas nécessairement dans le coffre informatique. - Author: La rédaction - Tags: Société, L’Archive, Synthèse IA Zoé Sagan, #Import 2026-11-05 14:42, La Société de l’Algorithme ![Nik Storonsky, cofondateur et directeur général de Revolut, sur scène à Web Summit, Lisbonne, le 2 novembre 2022. Photo d’archive ; cet entretien ne concernait pas la fuite de données de septembre 2026.](https://apar.tv/content/images/2026/09/nik.jpg) AUTOPSIE · ENQUÊTE Revolut : quand le faux policier frappe à la bonne adresse Nik Storonsky, cofondateur et directeur général de Revolut, sur scène à Web Summit, Lisbonne, le 2 novembre 2022\. Photo d’archive ; cet entretien ne concernait pas la fuite de données de septembre 2026\. [Harry Murphy / Web Summit via Sportsfile · CC BY 2.0](https://commons.wikimedia.org/wiki/File:2022%5F-%5FCentre%5FStage%5FHM3%5F3918%5F%2852472532046%29.jpg?ref=apar.tv) Synthèse IA Zoé Sagan · 13 SEPTEMBRE 2026 Des demandes frauduleuses parties d’un domaine gouvernemental légitime ont entraîné une divulgation de données clients. Le point faible se situe dans la confiance accordée à la demande, pas nécessairement dans le coffre informatique. **Des demandes frauduleuses parties d’un domaine gouvernemental légitime ont entraîné une divulgation de données clients. Le point faible se situe dans la confiance accordée à la demande, pas nécessairement dans le coffre informatique.** ## L’autorité empruntée Le scénario renverse le récit habituel du piratage bancaire. Il ne commence pas par une porte informatique forcée, mais par une demande reçue comme officielle. Un organisme conserve des informations sensibles pour remplir ses obligations ; quelqu’un se présente avec les apparences d’une autorité habilitée à les réclamer. Le danger apparaît au moment où l’apparence devient autorisation. Le 12 septembre 2026, [The Block a publié la confirmation d’un porte-parole de Revolut](https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516?ref=apar.tv) : un tiers non autorisé a transmis des demandes frauduleuses depuis un domaine appartenant à une agence gouvernementale légitime. L’entreprise dit avoir bloqué l’adresse, averti les autorités compétentes et contacté les clients concernés. Elle affirme que ses systèmes et les fonds des clients n’ont pas été affectés. Le nombre exact de personnes concernées et l’agence impliquée n’étaient pas publiquement identifiés dans cette confirmation. La notification citée mentionne notamment des documents d’identité, des informations de contact, des IBAN, des relevés, des historiques de transactions et, potentiellement, des selfies de vérification. Les catégories effectivement transmises peuvent varier selon les dossiers clients. ## Ce que prouve une adresse Une adresse provenant du bon domaine peut établir une provenance technique sans établir la légitimité de chaque action de son utilisateur. Un courrier peut être envoyé depuis un compte compromis, un accès abusivement obtenu ou une infrastructure détournée. Le mécanisme précis de cet incident n’est pas exposé dans la confirmation publique. Affirmer que tel serveur a été piraté ou que telle agence a été infiltrée demanderait des éléments supplémentaires. Cette distinction est pourtant essentielle pour toutes les institutions qui reçoivent des demandes de données. Vérifier le domaine et vérifier le pouvoir du demandeur sont deux contrôles différents. Il faut aussi vérifier la finalité, la base juridique, le périmètre et la cohérence de la demande. Les dispositifs de confiance qui rendent les échanges plus rapides peuvent devenir dangereux si ces questions disparaissent derrière une adresse familière. La réponse publique devrait donc porter autant sur le processus que sur l’infrastructure. Quel contrôle indépendant a été réalisé avant la transmission ? Existait-il un canal séparé pour confirmer la demande ? Le destinataire pouvait-il réclamer autant de données ? Ces questions décrivent ce qu’une investigation devrait établir. Elles ne préjugent pas des réponses ni d’une infraction commise par un salarié particulier. ## Une pièce d’identité ne se réinitialise pas comme un mot de passe La valeur d’une fuite tient à la combinaison des données. Une adresse fournit un contexte. Un document d’identité apporte une apparence de légitimité. Un historique de transactions peut révéler des habitudes et des interlocuteurs. Réunis, ces éléments peuvent rendre une tentative d’usurpation plus convaincante. Leur divulgation ne démontre pas qu’une fraude a ensuite eu lieu ; elle crée une exposition qui mérite un suivi. La phrase « les fonds sont intacts » répond à une question immédiate et importante. Elle ne règle pas celle de l’identité. On peut ne rien perdre aujourd’hui et recevoir plus tard une demande frauduleuse particulièrement crédible. Le risque doit être expliqué sans annoncer une catastrophe certaine ni minimiser les données au motif que le solde du compte n’a pas changé. Le client qui reçoit une notification peut demander quelles catégories de son propre dossier ont effectivement été transmises, à quelle période et quelles mesures ont été prises. Ce sont des questions individuelles, plus utiles qu’une liste virale présentée comme universelle. Une réponse sur le cas personnel permet de comprendre ce qui doit être surveillé et évite d’agir sur la seule base des récits d’autres utilisateurs. ## Le document public et sa limite Mark Karpelès a publié sur X une notification en indiquant être concerné. [Ce post est un document public attribué à son auteur](https://x.com/MagicalTux/status/2098613398070305037?ref=apar.tv). Il donne accès à une pièce du récit ; il ne permet pas à lui seul de mesurer l’ensemble de l’incident. Son intérêt éditorial est précisément de rendre visible le vocabulaire employé dans la communication aux clients. Le nombre de notifications visibles sur les réseaux sociaux ne fournit pas un décompte fiable des victimes. Les personnes qui publient sont une fraction auto-sélectionnée des destinataires. À l’inverse, l’absence de publication par un client ne prouve pas qu’il n’est pas touché. Les chiffres doivent venir de l’enquête ou d’un bilan institutionnel identifiable, et non d’une impression de volume dans un fil. La protection pratique commence par une règle simple : recontacter sa banque depuis son application ou ses coordonnées officielles lorsqu’un message inhabituel réclame une action. Ne pas utiliser le numéro ou le lien fourni par l’expéditeur suspect. Ne pas lui remettre de code de validation. Conserver les éléments si une tentative de fraude se produit. Ces réflexes ne remplacent pas l’obligation de protection des entreprises ; ils limitent l’exploitation secondaire des données. ## Une affaire de confiance administrée Le secteur financier demande aux utilisateurs de prouver leur identité avec toujours plus de précision. Ce dossier rappelle que l’exigence doit aussi s’appliquer à celui qui réclame leurs données. Plus le dossier est riche, plus le mécanisme de transmission doit être robuste. La rapidité d’un échange ne doit pas devenir son unique indicateur de réussite. À ce stade, il manque encore un bilan public détaillé du périmètre, de la chronologie et du mode d’authentification abusé. Ces éléments doivent désormais être précisés publiquement. La leçon déjà visible est plus précise qu’un slogan sur une banque « hackée » : une demande peut paraître officielle et rester illégitime. La sécurité doit savoir faire cette différence avant de cliquer sur envoyer. > [Notification publiée par Mark Karpelès, qui indique être concerné](https://x.com/MagicalTux/status/2098613398070305037?ref=apar.tv) Revolut qualifie les faits de « sophisticated external impersonation scam ». Une formulation technique ne répond pas encore à la question du contrôle qui a permis de remettre les données. ## Les pièces du dossier - [Confirmation et notification rapportées par The Block](https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516?ref=apar.tv) - [Document public de Mark Karpelès](https://x.com/MagicalTux/status/2098613398070305037?ref=apar.tv) - [Communication institutionnelle Revolut](https://www.revolut.com/news/?ref=apar.tv) ## Dans L’Archive [AI Act : la règle qui oblige à signaler les textes produits par une machine s’applique depuis 17 jours](https://apar.tv/ai-act-article-50-signalement-textes-ia-autorites-france/) [Filigrane invisible : Anthropic marque les textes de Claude, sauf quand ils affirment des faits](https://apar.tv/anthropic-filigrane-claude-ai-act-limites-detection/) [Durov accuse la France de censure, et oublie de dire qu’il est lui même mis en examen](https://apar.tv/durov-accuse-la-france-de-censure-et-oublie-de-dire-quil-est-lui-meme-mis-en-examen/) Publication liée au dossier > [Lire la publication originale sur X](https://x.com/MagicalTux/status/2098613398070305037?ref=apar.tv) DOCUMENT À CONSULTER ### Confirmation et notification rapportées par The Block Source liée au dossier. Le lien permet de consulter le texte et son contexte chez l’éditeur. [Ouvrir la source originale ↗](https://www.theblock.co/news/business/2026-09-12-revolut-says-customer-kyc-bitcoin-transaction-data-exposed-after-fake-request-from-govt-domain-414516?ref=apar.tv) État des informations au 13 septembre 2026\. Sources accessibles par les liens du dossier. Corrections et droit de réponse : [zoesagan2@gmail.com](mailto:zoesagan2@gmail.com).