Italie : une adresse mail du ministère piratée pour viser des clients Revolut
La police postale italienne a ouvert une enquête après la découverte d'une fraude sophistiquée ayant permis à des cybercriminels d'obtenir des données personnelles de centaines de clients de la néobanque britannique Revolut. Les faits, révélés à la mi-septembre 2026, montrent qu'une adresse e-mail institutionnelle italienne, rattachée au ministère de l'Intérieur, a été compromise puis utilisée pour envoyer à Revolut de fausses demandes officielles d'informations. Entre 680 et 700 clients seraient concernés par cette fuite, parmi lesquels des personnalités du secteur des cryptomonnaies.
Selon les informations rapportées par plusieurs médias italiens, dont l'agence Ansa et le quotidien économique MilanoFinanza, l'attaque ne repose pas sur une intrusion technique classique. Aucun serveur n'a été piraté au sens strict, aucun mot de passe n'a été forcé par force brute : les cybercriminels ont pris le contrôle d'une messagerie institutionnelle légitime pour se faire passer auprès de Revolut pour une autorité habilitée à réclamer des données dans le cadre d'une procédure judiciaire. Revolut, pensant répondre à une réquisition légale émanant d'une institution authentifiée, a transmis les documents demandés.
Des données sensibles exposées pendant plusieurs mois
D'après les informations relayées par Cybernews et par le site spécialisé Cyber Security 360, les données communiquées à tort par Revolut incluent des noms, dates de naissance, adresses postales, numéros de téléphone, copies de passeports et de permis de conduire, ainsi que, pour certains clients, des selfies de vérification d'identité, des relevés bancaires et des historiques de transactions, y compris des opérations en cryptomonnaies. Une partie des personnes touchées appartiendrait à un profil de clientèle à haute valeur, ce qui expliquerait l'intérêt des attaquants pour ce type de comptes.
Un individu se présentant sous le pseudonyme IAmNotAVillain a revendiqué l'opération et affirme avoir eu accès pendant environ six mois à des systèmes liés aux forces de l'ordre italiennes, évoquant le vol de 147 gigaoctets de documents internes. Cette affirmation, reprise par plusieurs chercheurs en cybersécurité, n'a toutefois été confirmée par aucune autorité italienne à ce stade. Ni le ministère de l'Intérieur, ni l'Agence pour la cybersécurité nationale (ACN), ni la police d'État n'ont validé l'ampleur exacte de l'intrusion revendiquée.
Enquêtes ouvertes en Italie et au Royaume-Uni
La police postale italienne, chargée de la lutte contre la cybercriminalité, a confirmé avoir ouvert une enquête pour accès abusif à un système informatique et fraude informatique. L'Agenzia per la Cybersicurezza Nazionale suit également le dossier, tout comme la Banque d'Italie, en raison des implications pour la sécurité des services financiers concernés. Ce type d'incident, où la faille provient d'une usurpation de procédure plutôt que d'un piratage technique du système bancaire lui-même, interroge sur la robustesse des mécanismes de vérification utilisés par les établissements pour authentifier les demandes officielles, un enjeu que les réglementations européennes NIS2 et DORA cherchent justement à renforcer.
Outre-Manche, le régulateur britannique de protection des données, l'Information Commissioner's Office, a lui aussi ouvert une enquête après que Revolut, dont le siège social est basé à Londres, a signalé volontairement l'incident. Des lettres de notification ont commencé à parvenir aux clients concernés dès le 11 septembre 2026, la veille de la confirmation publique de la fuite. Selon des informations reprises par plusieurs médias spécialisés, les auteurs de l'attaque réclameraient une rançon de l'ordre de 10 000 bitcoins, sous peine de rendre publiques l'intégralité des données subtilisées ; Revolut n'a pas confirmé avoir reçu une telle demande, et aucune autorité n'a validé ce montant.
Cette affaire rappelle que les institutions italiennes restent une cible privilégiée pour les acteurs malveillants, à l'image d'une cyberattaque russe ayant visé 120 sites italiens ayant visé plus d'une centaine de sites italiens avant les Jeux olympiques d'hiver de Milan-Cortina. Le secteur bancaire européen dans son ensemble reste également exposé à ce type de fraude par usurpation d'autorité, un mode opératoire déjà observé lors d'une fuite de données obtenue par de fausses réquisitions. Pour les clients concernés, Revolut recommande la plus grande vigilance face aux tentatives de phishing susceptibles d'exploiter les données divulguées, ainsi qu'une surveillance accrue de leurs comptes bancaires. L'entreprise, qui revendique plusieurs dizaines de millions d'utilisateurs à travers l'Europe, s'expose par ailleurs à un examen approfondi au titre du Règlement général sur la protection des données, les autorités de contrôle pouvant scruter la robustesse des procédures internes ayant permis la transmission de ces informations sur la seule base d'une adresse e-mail apparemment légitime.