Un vrai domaine gouvernemental a demandé des données clients, et Revolut les a envoyées

Le 12 septembre 2026, la fintech Revolut a confirmé ce qu'elle a qualifié d'escroquerie sophistiquée par usurpation d'identité externe : une partie non autorisée a utilisé une adresse électronique d'un domaine légitime d'une agence gouvernementale pour soumettre des demandes frauduleuses d'informations sur des clients. Les demandes ont été satisfaites avant que le stratagème ne soit détecté.

Ce qui rend cet incident digne de votre attention, c'est qu'il ne comporte aucune intrusion au sens habituel. Aucune vulnérabilité logicielle, aucun mot de passe divulgué, aucun logiciel malveillant. Revolut a elle-même déclaré que ses systèmes et les fonds de ses clients n'avaient pas été touchés. Quelqu'un a demandé les données de la bonne manière, par le bon canal, et les a reçues. C'est précisément pour cela que l'affaire concerne toute entreprise qui détient des fichiers clients, et pas seulement les banques.

Ce qui est réellement confirmé

Nous nous en tenons à ce que l'entreprise a annoncé et à ce que les médias spécialisés ont rapporté, car l'enquête est en cours et beaucoup d'éléments restent non divulgués :

• La méthode : des courriels envoyés depuis un compte non autorisé situé dans un domaine appartenant à une véritable agence gouvernementale, avec l'autorité d'une demande d'information officielle.
• Les données : des données d'identité et de contact, dont la date de naissance, l'adresse postale, l'adresse électronique et le numéro de téléphone, ainsi que des copies de pièces d'identité comme les passeports et les permis de conduire, et les images de vérification faciale recueillies lors des contrôles de connaissance du client (KYC).
• L'ampleur : l'entreprise a parlé d'un nombre limité de clients, sans publier de chiffre.
• L'agence : Revolut a refusé de nommer l'organisme gouvernemental dont le domaine a été utilisé, en invoquant l'enquête en cours.
• La réaction : l'adresse a été bloquée, les clients concernés ont été informés directement, et l'entreprise a alerté l'agence gouvernementale concernée, les forces de l'ordre, les régulateurs financiers et les autorités de protection des données.

Un chercheur en sécurité des cryptomonnaies connu sous le nom de ZachXBT a estimé que le ciblage semblait viser des clients fortunés, ce qui suggère la constitution de profils détaillés plutôt qu'une collecte aveugle. Il s'agit de l'appréciation d'un chercheur et non d'une déclaration de l'entreprise, et nous la citons comme telle.

Pourquoi la demande a fonctionné : l'authentification n'est pas l'autorisation

La plupart des messageries d'entreprise s'appuient sur des contrôles techniques qui confirment qu'un message provient réellement du domaine qu'il revendique. Ces contrôles fonctionnent bien contre la falsification ordinaire : quiconque se fait passer pour un domaine qu'il ne contrôle pas est rejeté. Mais ils ont été conçus pour répondre à une seule question : ce message est-il parti de ce domaine ?

Ce n'est pas la question à laquelle vous avez besoin de répondre. Votre question est de savoir si la personne qui a écrit le message est autorisée à demander ce qu'elle demande. Aucun contrôle de courriel n'y répond. L'écart entre ces deux questions est l'écart entre l'authentification et l'autorisation, et c'est par cette brèche que toute l'opération est passée. Lorsque le compte expéditeur se trouve dans le domaine authentique, qu'il ait été compromis ou attribué à tort, tous les indicateurs de confiance que votre équipe peut voir sont au vert.

La conséquence pratique : le rôle de votre passerelle de messagerie s'arrête à la remise intacte de la demande. Juger la demande est un travail humain, et cela exige une procédure écrite plutôt que l'instinct de chacun.

Votre entreprise reçoit la même demande sous une forme plus simple

Il est tentant de classer cette affaire comme une lointaine histoire de fintech européenne. Mais les demandes qui arrivent chaque jour dans les entreprises saoudiennes sont la même chose sous un habit plus simple : un courriel demandant le relevé d'un client, un message réclamant des informations sur un salarié à des fins réglementaires, un appel vous demandant de confirmer les détails d'un contrat, un courrier provenant d'une adresse portant un nom officiel familier et sollicitant des documents pour compléter une démarche.

Dans la plupart des petites et moyennes entreprises, cette demande est traitée ainsi : elle arrive chez un employé, l'expéditeur a l'air officiel, refuser un organisme officiel semble plus risqué que d'obtempérer, et le fichier est envoyé. Il n'existe aucune trace de qui a demandé, de ce qui est parti ni de quand. Il n'y a aucune étape de vérification indépendante. Lorsque le problème apparaît plus tard, l'entreprise n'a rien pour reconstituer les faits.

Remarquez aussi la pression exercée. L'urgence et l'autorité officielle, ensemble, sont ce qui neutralise la vérification. Un employé qui craint d'être accusé d'entraver une procédure gouvernementale sautera l'appel de confirmation, et c'est l'effet recherché par cette approche, non un effet secondaire.

Ce que la loi saoudienne exige de vous

La loi sur la protection des données personnelles (PDPL) ne laisse pas la question ouverte. Elle impose à votre entreprise une double obligation : ne communiquer que lorsque c'est permis, et signaler lorsque vous vous trompez.

• L'article 15 énumère les cas dans lesquels des données personnelles peuvent être communiquées, notamment lorsque le demandeur est une entité publique et que la demande sert une finalité de sécurité, applique une autre loi ou satisfait à des exigences judiciaires, comme le précise le règlement d'application.
• L'article 16 régit les cas où la communication doit être refusée, notamment lorsqu'elle porterait atteinte à la sécurité nationale, mettrait en danger la sécurité de personnes ou entraverait une enquête en cours.
• L'article 20 oblige le responsable du traitement à notifier à l'autorité compétente et aux personnes concernées toute violation ou communication illicite. Le règlement d'application fixe un délai de 72 heures pour notifier l'autorité compétente via la plateforme nationale de gouvernance des données.

Lus ensemble, ces trois articles font ressortir le point décisif : la loi accorde le droit à l'entité publique, pas au courriel. Une demande qui arrive depuis le domaine d'une entité publique n'en devient pas pour autant la sienne. L'obligation légale de vérifier vous incombe en tant que responsable du traitement, et elle ne se transfère pas à un expéditeur simplement parce qu'il avait l'air officiel.

Le regard d'Origami

Origami est une société technologique qui construit des systèmes pour les entreprises saoudiennes, et nous constatons régulièrement que la quasi-totalité des investissements de sécurité vise à empêcher les accès non autorisés : mots de passe, authentification à deux facteurs, pare-feu. Ils sont nécessaires, mais ils gardent une seule porte. L'incident dont nous parlons n'est jamais passé par la porte. Il a frappé, demandé les données, et on les lui a remises. Aucun paramètre technique n'empêche un employé autorisé d'envoyer un fichier à quelqu'un qui l'a demandé d'une manière qui semblait correcte.

C'est pourquoi nous traitons la sortie des données de l'entreprise comme une procédure intégrée au système plutôt que comme une consigne écrite dans un manuel : qui détient l'autorisation d'exporter des données clients, si chaque export est journalisé avec son auteur, sa date et son motif, et si les demandes de tiers suivent un circuit de validation. Une entreprise capable de répondre en une minute à la question « quelles données sont sorties le mois dernier, et pourquoi ? » a de quoi se défendre. Une entreprise qui en est incapable découvrira la faille le jour où elle aura besoin de la réponse.

Une procédure d'une page à adopter cette semaine

Cela n'exige ni projet ni budget. Cela exige une règle écrite et diffusée, qui évite à votre employé de devoir décider seul sous la pression :

• Aucune donnée client ou salarié ne sort sur la seule foi d'un message entrant. Le message ouvre la demande ; il ne l'exécute pas, aussi officiel que paraisse l'expéditeur et aussi pressant que soit le ton.
• Vérifier par un canal indépendant. Ne répondez pas au message et n'appelez pas un numéro qui y figure. Appelez le numéro publié sur le site officiel de l'entité. Cette seule étape aurait arrêté toute l'opération.
• Un seul valideur désigné. Une personne autorisée à communiquer des données à un tiers, avec un suppléant désigné en cas d'absence. Répartir l'autorisation entre tout le monde signifie que personne n'est responsable.
• Un registre écrit pour chaque demande. Qui a demandé, à quel titre, quelles données, qui a validé, comment la demande a été vérifiée, et la date. Une ligne dans un tableur suffit, et sa valeur se révèle un an plus tard plutôt qu'aujourd'hui.
• Envoyer le strict minimum. Si la demande est légitime, envoyez exactement ce qui a été demandé, pas tout le dossier ni la table entière. Le volume que vous envoyez correspond à l'ampleur des dégâts si la demande se révèle frauduleuse.
• Connaître le circuit de signalement avant d'en avoir besoin. Qui notifie la SDAIA dans les 72 heures, par quelle plateforme, avec quelles informations. Le temps passé à chercher la procédure est directement retranché du délai.

Le principe qui sous-tend tout cela, c'est que vérifier n'est pas faire obstruction. Un véritable organisme officiel ne s'opposera pas à un appel de confirmation passé à son propre numéro publié, et celui qui s'oppose à être vérifié est précisément celui qu'il faut vérifier. Mettez-le par écrit pour votre équipe, afin que refuser une demande ne soit jamais un risque personnel qu'un employé doit porter seul.

Sources

• TechCrunch : confirmation de l'incident par Revolut le 12 septembre 2026, sa déclaration et les catégories de données divulguées.
• Bloomberg : l'annonce par l'entreprise qu'un nombre limité de clients a été touché par une escroquerie par courriel.
• Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) : l'autorité compétente pour la loi sur la protection des données personnelles, son règlement d'application et la plateforme nationale de gouvernance des données.
• Loi sur la protection des données personnelles : le texte officiel, y compris les articles relatifs à la communication autorisée, à la communication interdite et à la notification des violations.
• Autorité nationale de cybersécurité (NCA) : les contrôles couvrant la protection des données et la gestion des incidents cyber dans les organisations.