Le 12 mars, un mail arrive dans les boîtes des employés de Revolut. Objet : « Urgent : vérification des comptes clients ». Signé « Autorité italienne de lutte contre la fraude ». Sauf que ce n’est pas l’Italie. C’est un piège. Les pirates, eux, savent une chose simple : les équipes des banques en ligne paniquent à la moindre mention d’un régulateur. Alors ils envoient des faux mails, usurpent des logos, et hop, les données de 30 000 clients atterrissent dans leur base. Nom, adresse, numéro de téléphone, parfois même numéros de compte. Assez pour monter des arnaques ciblées. Assez pour faire croire qu’on vous connaît mieux que votre propre banque. Et Revolut, elle, met deux semaines à s’en rendre compte. Deux semaines. Le temps que les escrocs commencent à appeler les victimes pour leur proposer des « placements financiers » ou des « prêts urgents ». Le temps que les premiers clients se plaignent sur Twitter avec des captures d’écran de mails suspects. Le temps que l’Italie ouvre une enquête pour « usurpation d’identité » et que le régulateur britannique, la FCA, « examine les informations », une formule qui veut dire « on regarde, mais pas trop ».
Pourquoi Revolut a-t-elle mis si longtemps à réagir ?
Parce que vérifier 30 000 comptes un par un, c’est long. Parce que les équipes juridiques préfèrent d’abord « évaluer l’impact » avant d’avouer à leurs clients qu’ils ont été piratés. Parce que la banque en ligne mise tout sur la vitesse, sauf quand il s’agit de protéger ses données. Et surtout, parce que cette affaire n’est pas isolée. En 2022, Revolut a déjà admis une faille de sécurité où des données de 50 000 clients avaient fuité. À chaque fois, le même scénario : un mail frauduleux, une usurpation d’identité, et des clients qui apprennent la nouvelle en lisant la presse. La différence cette fois ? L’Italie a ouvert une enquête. La FCA, elle, « surveille ». Traduction : on attend de voir si ça va faire du bruit.
Le vrai problème, ce n’est pas les pirates. C’est Revolut.
La banque se défend en parlant d’« escroquerie sophistiquée ». Oui, c’est sophistiqué. Mais pas assez pour que leurs équipes ne tombent pas dans le panneau. Un faux mail, un logo copié-collé, et hop, les données partent. Pourtant, Revolut a les moyens de former ses équipes. Elle a les moyens d’investir dans des outils de détection. Elle a même les moyens d’avertir ses clients avant que les pirates ne les contactent. Alors pourquoi elle ne le fait pas ? Parce que la croissance prime sur la sécurité. Parce que chaque euro dépensé en prévention, c’est un euro en moins pour attirer de nouveaux clients. Parce que quand un régulateur vous surveille, vous préférez faire semblant d’agir plutôt que d’admettre que votre système a des failles.
Et les clients dans tout ça ?
Eux, ils se font avoir. Encore. En 2023, une étude de l’Autorité britannique de protection des données (ICO) montrait que 60 % des clients de banques en ligne avaient déjà été victimes d’une tentative de phishing. 60 %. Et Revolut, elle, mise sur le fait que ses clients ne vérifieront pas deux fois avant de cliquer. Résultat ? Les arnaques explosent. Les clients se plaignent. Et Revolut, elle, sort un communiqué pour « rassurer », sans jamais dire combien de données ont vraiment fuité, ni comment elle compte éviter que ça se reproduise.
Ce qui se joue derrière, c’est une question de confiance.
Vous donnez vos données à Revolut en pensant qu’elles sont protégées. Sauf que non. Sauf que les pirates savent exactement comment les voler. Sauf que la banque met des semaines à réagir. Et sauf que, quand vous appelez leur service client pour vous plaindre, on vous répond « on fait tout pour sécuriser vos données », sans jamais expliquer comment. Alors oui, Revolut est une banque moderne. Oui, elle est pratique. Oui, elle a des millions d’utilisateurs. Mais une banque qui se fait pirater deux fois en deux ans, qui met des semaines à réagir, et qui préfère jouer les victimes plutôt que d’assumer ses erreurs, ça ne mérite pas votre confiance. Ça mérite juste que vous partiez.
Le régulateur britannique va-t-il enfin agir ?
La FCA « examine les informations ». Traduction : ils attendent de voir si les médias s’emparent de l’affaire. Si les clients se révoltant. Si les actionnaires commencent à poser des questions. Parce que pour l’instant, Revolut peut encore se permettre de faire semblant. Mais si l’Italie pousse à une enquête européenne, si les clients portent plainte en masse, si les actionnaires exigent des réponses, là, ça va devenir sérieux. En attendant, les pirates, eux, rigolent. Ils savent que Revolut a peur des régulateurs plus que des hackers. Et ils ont raison.
La prochaine fois, ce ne sera pas 30 000 clients. Ce sera 300 000.
Parce que le problème, ce n’est pas cette escroquerie. C’est que Revolut s’en sort toujours à bon compte. Et que personne ne semble prêt à la forcer à changer.
## Ce que la FCA refuse de dire sur les failles de Revolut
La Financial Conduct Authority (FCA), le régulateur britannique, « examine les informations » après le signalement de cette fuite. Une formule toute faite qui veut dire « on regarde, mais pas trop ». Pourtant, Revolut a déjà été sanctionnée par la FCA en 2021 pour des « manquements dans la lutte contre le blanchiment d’argent ». À l’époque, la banque avait dû payer une amende de 40 millions de livres, soit à peu près le prix de trois mois de salaires pour ses 5 000 employés. Assez pour faire mal, pas assez pour changer les choses.
Pourquoi la FCA ne frappe pas plus fort cette fois ? Parce qu’elle a peur de faire fuir les clients. Parce que Revolut est trop grosse pour qu’on la laisse tomber. Parce que, au fond, tout le monde sait que les banques en ligne ont des failles, mais que personne ne veut vraiment les réguler. Alors on regarde, on attend, et on espère que ça ne fera pas trop de vagues.
Le chiffre qui résume tout : 30 000.
C’est le nombre de clients touchés par cette fuite. Assez pour que ça fasse du bruit. Pas assez pour que Revolut s’effondre. Assez pour que les pirates recommencent. Pas assez pour que les régulateurs agissent. Assez pour que vous, vous vous disiez « bon, cette fois, ça n’arrivera pas à mon compte », jusqu’à ce que ça arrive.
## Pourquoi l’Italie a ouvert une enquête, et pas la France ?
En Italie, les autorités ont réagi vite. Trop vite, peut-être. Elles ont ouvert une enquête pour « usurpation d’identité » et « accès frauduleux à des données ». En France, en Allemagne, ou même aux États-Unis, on attendrait encore. Pourquoi ? Parce que l’Italie a une culture de la plainte plus agressive. Parce que les médias italiens ont couvert l’affaire avant les autres. Parce que, parfois, il faut qu’un pays étranger bouge pour que les choses avancent.
En France, par exemple, la Banque de France a « pris acte » de l’incident. Traduction : « on a vu, mais on ne fera rien ». Pourtant, Revolut y est implantée depuis 2017. Pourtant, elle gère des comptes pour des millions de Français. Pourtant, elle a déjà été épinglée pour des problèmes de sécurité. Mais non. Ici, on préfère fermer les yeux.
Le vrai danger, ce n’est pas le piratage. C’est l’indifférence.
Les pirates, on les arrêtera un jour. Les failles de sécurité, on les corrigera, peut-être. Mais l’indifférence des régulateurs, elle, elle dure. Parce que sanctionner une banque comme Revolut, ça veut dire admettre que le système est pourri. Ça veut dire dire aux clients « désolé, mais on ne vous protège pas ». Et personne ne veut entendre ça.
Alors on fait semblant. On examine les informations. On attend que ça passe. Et pendant ce temps, vos données fuient.
## Ce que Revolut ne vous dira jamais
La banque publie des communiqués. Elle parle de « mesures renforcées ». Elle promet de « mieux protéger vos données ». Mais elle ne dit jamais :
- Combien de comptes ont vraiment été compromis ? (30 000, selon les premières estimations. Mais est-ce que c’est tout ?)
- Comment les pirates ont-ils fait pour usurper l’agence italienne ? (Un faux mail, un faux logo, et personne pour vérifier. Facile.)
- Pourquoi ça a mis deux semaines à être détecté ? (Parce que personne ne surveille les mails entrants. Parce que les équipes sont sous pression. Parce que la sécurité, ce n’est pas une priorité.)
- Que font-ils pour éviter que ça recommence ? (Ils disent « on renforce les contrôles ». Mais est-ce que ça suffira ?)
Revolut a un problème de transparence. Elle a un problème de réactivité. Et elle a un problème de confiance. Parce que quand vos données fuient, ce n’est pas une « escroquerie sophistiquée ». C’est une faillite de votre système.
## La leçon à retenir : vos données ne valent rien
Vous donnez vos informations bancaires à Revolut en pensant qu’elles sont en sécurité. Sauf que non. Sauf que les pirates savent exactement comment les voler. Sauf que la banque met des semaines à réagir. Et sauf que, quand vous appelez pour vous plaindre, on vous répond « on fait tout pour », sans jamais expliquer comment.
Alors la prochaine fois que vous recevez un mail « urgent » de votre banque, ne cliquez pas. Ne répondez pas. Ne donnez pas vos données. Parce que si Revolut peut se faire pirater comme ça, c’est que personne ne vous protège vraiment.
Et ça, c’est le vrai scandale.
