Revolut s'est fait piéger par un faux mail gouvernemental — votre PME pourrait être la prochaine

Quand une fintech mondiale se fait avoir par un simple email

Vous pensez que seules les petites structures tombent dans le panneau des arnaques par email ? Détrompez-vous. Le 12 septembre 2026, Revolut — la néobanque qui compte des millions d'utilisateurs et des équipes de sécurité entières — a transmis des documents KYC ultra-sensibles à un escroc qui se faisait passer pour une agence gouvernementale.

Pas de ransomware sophistiqué. Pas de faille zero-day. Pas de piratage technique digne d'un film hollywoodien. Juste un faux email officiel suffisamment bien ficelé pour passer les contrôles d'authentification du domaine et tromper un employé qui croyait faire son travail correctement.

Le butin ? Des pièces d'identité, des selfies de vérification, des IBAN, et même des historiques de transactions Bitcoin d'utilisateurs fortunés apparemment ciblés en priorité. Comme le rapporte SpendNode, l'attaquant avait usurpé le domaine email d'une agence réelle, et la demande semblait parfaitement légitime sur le papier.

Si ça peut arriver à Revolut, ça peut arriver à votre PME genevoise demain matin.

L'ingénierie sociale : l'arme qui contourne tous vos pare-feu

Ce qui rend cette affaire particulièrement inquiétante, c'est l'absence totale de sophistication technique. L'attaquant n'a pas eu besoin de forcer des serveurs ou de contourner un système de chiffrement. Il a simplement exploité la confiance : un email qui ressemble à une demande officielle, un domaine qui passe les vérifications SPF/DKIM, et un employé qui suit la procédure sans creuser davantage.

Pour une PME romande qui gère des données RH, des dossiers clients ou des informations comptables sensibles, le scénario est identique : un mail prétendant venir de l'AFC, de la FINMA, ou d'un tribunal cantonal, demandant « urgemment » des documents sur un collaborateur ou un client. Sous pression, sans processus de vérification clair, on transmet. Et c'est trop tard.

Ce que votre PME doit faire MAINTENANT

Revolut a précisé que les données biométriques de reconnaissance faciale n'étaient pas concernées — mais les photos de vérification elles-mêmes, oui. Nuance technique, mais pour les victimes, le résultat est le même : usurpation d'identité facilitée.

Voici le réflexe à installer dans toute PME suisse qui reçoit une demande officielle de transmission de données :

1. Ne JAMAIS utiliser les coordonnées fournies dans la demande elle-même
L'email contient un numéro de téléphone ou un lien de vérification ? Ignorez-les. Cherchez vous-même le numéro officiel de l'organisme sur son site web, et rappelez pour confirmer.

2. Exiger une procédure écrite et signée
Une vraie demande officielle suit un processus formel : courrier recommandé, référence de dossier vérifiable, signature d'un responsable identifiable. Un simple email, même avec un bon domaine, ne suffit jamais.

3. Impliquer systématiquement un second regard
Toute transmission de données sensibles doit être validée par au moins deux personnes dans l'entreprise. Jamais une seule personne ne devrait avoir le pouvoir de livrer des données clients ou RH sur simple demande.

4. Former vos équipes à l'ingénierie sociale
Vos collaborateurs savent repérer un phishing grossier. Mais savent-ils identifier une demande officielle frauduleuse qui passe tous les filtres techniques ? C'est là que la formation continue fait la différence.

Et si votre PME genevoise était la prochaine cible ?

L'affaire Revolut est un rappel brutal : la cybersécurité ne se limite pas aux antivirus et aux pare-feu. Les attaquants ciblent l'humain, le maillon le plus difficile à « patcher ». Et les PME romandes, souvent moins outillées que les grandes structures, sont des cibles de choix.

Si votre entreprise manipule des données clients, RH ou financières sensibles, vous avez besoin d'un processus de vérification des demandes officielles documenté, testé et appliqué sans exception. Pas demain. Aujourd'hui.

GDZ IT Services accompagne les PME genevoises et romandes dans la mise en place de procédures de sécurité adaptées à leur réalité opérationnelle — sans jargon, sans usine à gaz, juste ce qu'il faut pour éviter qu'un email bien ficelé ne devienne votre pire cauchemar. Parce qu'entre Revolut et vous, la seule différence, c'est peut-être juste un coup de fil de vérification.