Le 16 septembre 2026, Revolut a révélé avoir été victime d’une escroquerie par ingénierie sociale ciblant ses processus humains. Les attaquants, se faisant passer pour une préfecture italienne, ont obtenu des données sensibles de 680 clients fortunés. Cet incident ne se résume pas à une faille technique : il expose une vérité souvent sous-estimée en cybersécurité – la vulnérabilité des décisions prises sous pression par des équipes en première ligne.
L’attaque : anatomie d’une usurpation étatique
Les cybercriminels ont exploité un vecteur simple mais redoutable : une adresse e-mail usurpant le domaine d’une agence gouvernementale légitime. Selon le Financial Times, les échanges avec Revolut se sont étalés sur plusieurs mois, ciblant des clients détenant d’importants volumes de cryptoactifs en France et en Suisse. Les données compromises incluaient :
- Adresses postales et photos de vérification d’identité
- Copies de pièces d’identité officielles
- Historique d’activité bancaire et transactions crypto
Revolut a réagi en bloquant l’adresse frauduleuse et en alertant les autorités, mais le mal était fait. La question n’est pas de savoir si les contrôles techniques étaient en place, mais pourquoi ils n’ont pas suffi à arrêter une usurpation aussi grossière.
La faille humaine : quand la pression décisionnelle prime sur les procédures
Dans L’Attaque, le programme immersif de Predictive CyberProgram, nous simulons des scénarios où des équipes doivent réagir à des demandes urgentes émanant d’autorités supposées. Trois facteurs clés expliquent pourquoi ces attaques réussissent :
- L’autorité perçue : Une demande présentée comme émanant d’une préfecture ou d’un régulateur déclenche un réflexe de conformité, même chez des professionnels formés.
- L’urgence fabriquée : Les attaquants exploitent la peur des sanctions réglementaires pour court-circuiter les vérifications.
- La dilution des responsabilités : Dans les grandes organisations, personne ne veut être celui qui bloque une demande "officielle".
Ces mécanismes ne relèvent pas de la négligence, mais d’une réalité psychologique documentée. Une étude de l’ANSSI en 2025 montrait que 68 % des incidents impliquant une usurpation d’identité gouvernementale réussissaient parce que les équipes avaient consciemment contourné leurs propres procédures sous pression.
L’arc savoir-comprendre-agir : former au-delà des cases à cocher
La réponse à ces attaques ne se trouve pas dans des modules e-learning supplémentaires. Elle exige un changement de paradigme dans la formation des équipes :
- Savoir : Identifier les signaux faibles d’une usurpation (domaines similaires, tournures de phrase inhabituelles pour une administration).
- Comprendre : Simuler l’impact concret d’une fuite de données sur les clients et l’entreprise, via des scénarios HVS (Human Vulnerability Scoring).
- Agir : Pratiquer des protocoles de vérification sous pression, comme exiger une confirmation par un canal alternatif (appel téléphonique sur un numéro officiel connu) avant toute transmission de données sensibles.
Chez Predictive CyberScore, nous mesurons cette résilience via l’h-ROSI (Human Return on Security Investment), un indicateur qui évalue le temps gagné par les équipes pour détecter et bloquer une attaque par ingénierie sociale. Dans le cas de Revolut, ce temps a été de plusieurs mois – une éternité en cybersécurité.
Décision COMEX : transformer l’incident en levier stratégique
Pour les dirigeants, cet incident doit servir de catalyseur pour :
- Cartographier les processus critiques exposés : Quels services reçoivent régulièrement des demandes externes ? Quels sont les points de contact où une usurpation pourrait passer ?
- Instaurer des "zones de doute systématique" : Toute demande émanant d’une autorité doit déclencher une vérification indépendante, sans exception.
- Intégrer la pression dans les exercices : Les simulations doivent reproduire le stress des équipes face à une demande urgente, avec des conséquences simulées en cas d’erreur.
Comme le souligne notre doctrine Predictive CyberProgram, la cybersécurité n’est pas une question de technologie, mais de décisions humaines prises dans l’urgence. L’attaque contre Revolut rappelle que les cybercriminels ne ciblent pas les machines – ils ciblent les réflexes, les habitudes et les peurs de ceux qui les utilisent.
Recommandations concrètes pour les RSSI et DPO
Pour réduire l’exposition à ce type d’attaque :
- Mettre en place un registre des demandes externes, avec traçabilité des vérifications effectuées.
- Former les équipes à reconnaître les biais cognitifs (autorité, urgence, dilution des responsabilités) via des ateliers interactifs.
- Créer un canal dédié pour les alertes internes, permettant à un employé de signaler une demande suspecte sans crainte de représailles.
- Intégrer des tests d’ingénierie sociale aléatoires dans les audits de sécurité, avec des scénarios réalistes (usurpation de régulateurs, faux fournisseurs, etc.).
La leçon de Revolut est claire : la résilience cyber se construit dans les moments où les procédures écrites rencontrent la réalité du terrain. C’est là que se joue la différence entre une organisation vulnérable et une organisation préparée.