Des clients Revolut établis en Suisse visés par une fuite de données

Les données de compte de près de 700 clients Revolut ont été exposées après que des criminels se sont fait passer pour des représentants des forces de l’ordre italiennes. Les attaquants ont fait pression sur la banque en ligne pour qu’elle divulgue des informations qu’ils prétendaient nécessaires à une enquête. Revolut a accepté la demande, croyant qu’elle émanait d’une autorité légitime, et les données sont ensuite parvenues aux criminels.

Les pirates ont par la suite publié une demande de rançon en ligne. Ils réclament à Revolut 3 millions de dollars américains pour ne pas divulguer les informations des clients. Le rapport à l’origine de l’information ne précise pas les catégories de données concernées et n’indique pas si des négociations en vue d’un paiement sont en cours.

Certains des clients concernés sont établis en Suisse. Leur nombre n’a pas été communiqué. Cette incertitude empêche les clients suisses de savoir clairement s’ils sont concernés, notamment s’ils doivent s’attendre à être contactés directement, à une surveillance de leur compte ou à d’autres mesures de protection de la part de Revolut.

L’incident place immédiatement un prestataire fintech international sous le feu des projecteurs en Suisse. Revolut sert des clients dans plusieurs pays, tandis que ses ambitions réglementaires locales avancent. Pour les utilisateurs, cette fuite soulève des questions concrètes sur la manière dont une banque numérique vérifie les demandes officielles et communique après une faille de sécurité des données.

La fuite a commencé par une tromperie visant le propre processus de vérification de Revolut. Les criminels se sont fait passer pour un service de police italien et ont fait pression sur la banque pour qu’elle divulgue des données de compte. Leur réussite montre comment une demande émanant prétendument d’une autorité peut ouvrir la voie à des informations financières sensibles, même lorsqu’elle vise une plateforme bancaire bien établie.

Le récit disponible de l’incident ne précise pas quelle personne ou quel groupe a mené l’attaque. Il n’explique pas non plus comment les fraudeurs ont monté leur usurpation d’identité, quelles vérifications Revolut a effectuées ni si la demande a suivi une procédure interne d’escalade. Ces détails seront importants pour les clients et les autorités de régulation qui chercheront à déterminer si la faille résulte d’un seul échange manipulé ou d’une faiblesse plus générale des procédures.

La demande de rançon a suivi la divulgation. En la publiant en ligne, les attaquants ont créé un second moyen de pression sur la banque, qui doit décider comment réagir tout en protégeant les clients concernés et en limitant la diffusion des données.

Le rapport à l’origine de l’information ne précise pas publiquement la réponse de Revolut. L’entreprise n’a pas non plus communiqué de ventilation des comptes concernés en Suisse. Ces informations manquantes pèseront sur la suite de l’affaire.

Le calendrier met les projets d’expansion de Revolut en Suisse davantage sous le feu des projecteurs. L’entreprise a demandé une licence bancaire suisse afin d’établir une présence plus officielle sur le marché. La fuite de données survient alors que la société cherche à renforcer sa position auprès des clients suisses, ce qui place les mesures de sécurité opérationnelle au cœur du débat public autour de sa demande.

Une licence suisse inscrirait les ambitions bancaires locales de Revolut dans un cadre réglementaire plus exigeant. L’incident ne permet pas, à lui seul, d’établir que l’entreprise a enfreint une quelconque exigence légale suisse, et le rapport disponible ne décrit pas l’état d’avancement de la demande. Il donne toutefois aux autorités de régulation et aux consommateurs un cas concret à examiner : la manière dont un prestataire authentifie les demandes d’autorités étrangères et la rapidité avec laquelle il informe les personnes lorsque leurs données ont été exposées.

La dimension transfrontalière est importante. Les représentants présumés étaient italiens, la banque exerce ses activités à l’international et certains clients concernés vivent en Suisse. Cette combinaison peut compliquer la communication, les enquêtes et la détermination des responsabilités, en particulier lorsque les titulaires de compte utilisent un service dont le siège se trouve à l’étranger.

Les clients suisses auront besoin d’informations claires sur les données concernées, les comptes touchés et les mesures de protection à leur disposition. Le rapport à l’origine de l’information ne précise pas ces éléments.

Les grandes banques investissent massivement dans la cybersécurité, mais aucune institution ne peut considérer que le risque d’usurpation d’identité est maîtrisé. Le rapport à l’origine de l’information relève que les grandes banques, en Suisse comme à l’étranger, consacrent généralement des sommes importantes à des infrastructures de sécurité avancées. Les criminels gagnent eux aussi en sophistication et parviennent de plus en plus à contourner les mesures de protection.

Pour les consommateurs suisses, le problème immédiat est le manque d’informations. Le rapport ne précise ni le nombre de clients locaux concernés, ni les données obtenues par les criminels, ni si des comptes ou des soldes ont été directement consultés. Ces distinctions sont importantes. Des données personnelles volées peuvent servir à de futures tentatives d’hameçonnage, même si l’attaquant ne retire pas d’argent d’un compte.

Les clients devraient se méfier des messages inattendus prétendant provenir de Revolut, d’un service de police ou d’une autre autorité. Ils devraient passer par les canaux d’assistance officiels, éviter de communiquer leurs mots de passe ou codes de sécurité et surveiller leurs comptes pour repérer toute activité inhabituelle. Il s’agit de précautions générales, et non d’une preuve que tous les clients suisses ont été compromis.

L’incident donne aussi à Revolut une série de questions claires auxquelles répondre à mesure que sa demande suisse avance. Les clients et les autorités de régulation attendront une explication de la défaillance des vérifications, un décompte précis des personnes concernées et des conseils rapides pour celles dont les informations ont été divulguées. Tant que ces éléments ne sont pas connus, l’ampleur des conséquences en Suisse reste incertaine.