Revolut : dossiers KYC remis à une fausse agence officielle

Le mécanisme

Les équipes de conformité d’une fintech reçoivent régulièrement des demandes officielles : réquisitions judiciaires, enquêtes, demandes de régulateurs. Beaucoup arrivent par e-mail. Ici, l’e-mail venait du vrai domaine de l’agence et passait les contrôles d’authentification (SPF, DKIM, DMARC). Ces contrôles prouvent qu’un message vient bien d’un serveur autorisé par le domaine. Ils ne prouvent pas que la personne qui l’a écrit est habilitée à faire la demande : une boîte compromise chez l’agence produit des messages parfaitement authentifiés. Notre guide SPF, DKIM et DMARC détaille ce que ces protocoles garantissent et ce qu’ils ne garantissent pas.

Revolut a bloqué l’adresse à la détection et alerté l’agence, les forces de l’ordre, les autorités de protection des données et les régulateurs. L’entreprise indique que ses systèmes et les fonds des clients ne sont pas affectés. C’est sa deuxième fuite notable après celle de septembre 2022, qui avait touché 50 150 clients à la suite d’une attaque d’ingénierie sociale.

Les trois failles

1. Un canal authentifié pris pour une autorisation

Le processus acceptait une demande par e-mail entrant, sans rappel vers un contact vérifié ni passage par un portail dédié. L’authenticité technique du canal a remplacé la vérification de la personne et de la procédure.

2. Un périmètre transmis trop large

Une demande portant sur l’identité d’un client n’a pas besoin de l’historique complet des transactions. Transmettre le dossier entier multiplie l’impact de chaque erreur, et rien dans l’outil n’imposait une réponse plus restreinte.

3. Des données KYC accessibles sans seconde validation

Copies de pièces d’identité et selfies biométriques sont les données les plus utiles à l’usurpation d’identité. Leur extraction ne devrait jamais dépendre d’une seule personne. Les fuites d’IDScan et de la base DAVID en Floride montrent la valeur de ces documents pour les attaquants.

Pourquoi ça vous concerne

Tout produit qui conserve des données personnelles reçoit des demandes extérieures : autorités, avocats, « le DRH du client », « l’expert-comptable », un client qui a « perdu son accès ». Chacune peut être imitée, et les attaquants étudient vos procédures avant d’écrire : ils reprennent le bon vocabulaire, citent de vrais textes et fixent un délai court pour que personne ne prenne le temps de rappeler. Et une fuite limitée en volume peut être maximale en impact si elle vise des dirigeants ou des clients fortunés.

Comment le tester

1. Cartographier les sorties : listez tous les chemins par lesquels des données client peuvent sortir à la demande d’un tiers : boîte conformité, support, exports manuels, demandes RGPD, demandes d’autorités.
2. Vérification prévue : pour chaque chemin, écrivez comment l’identité et l’habilitation du demandeur sont vérifiées. « L’e-mail vient du bon domaine » n’est pas une réponse.
3. Exercice de bout en bout : avec l’accord écrit de la direction, envoyez à l’équipe concernée une demande fictive crédible depuis une adresse externe de test, et observez jusqu’où elle va avant d’être bloquée. Arrêtez l’exercice avant toute transmission réelle.
4. Accès KYC : listez qui peut consulter et exporter les pièces d’identité et les selfies, et si une seconde personne doit valider.
5. Périmètre : vérifiez si l’outil permet de transmettre un sous-ensemble (identité seule) ou impose le dossier complet.
6. Traçabilité : retrouvez la dernière divulgation à un tiers dans vos journaux : qui, quoi, quand, vers quel canal.

Comment corriger

• Demandes officielles reçues uniquement par des portails dédiés ou confirmées par rappel vers un contact obtenu indépendamment, jamais via les coordonnées de l’e-mail reçu.
• Double validation humaine pour toute transmission de pièces d’identité, de biométrie ou d’historique financier.
• Transmission du minimum nécessaire, avec des modèles de réponse par type de demande.
• Accès aux données KYC nominatifs, journalisés, avec alerte sur les consultations inhabituelles.
• Formation des équipes conformité et support à l’ingénierie sociale d’apparence institutionnelle, avec des exemples réels et une règle claire : l’urgence ne justifie jamais de sauter le rappel.

Ce que ça change quand un agent IA traite les demandes entrantes

De plus en plus d’entreprises confient le tri, voire la réponse, des e-mails entrants à un agent IA qui a accès aux dossiers clients. Face à un e-mail d’apparence officielle, un agent est encore plus facile à convaincre qu’un humain : il ne se méfie pas d’une urgence ou d’un ton d’autorité, et le texte de l’e-mail peut contenir des instructions directes. Si l’agent peut joindre un document ou résumer un dossier dans sa réponse, l’attaque de Revolut devient automatisable. Le Red Team Agent Express teste en cinq jours ce qu’un e-mail piégé peut faire transmettre à votre agent.