Mark Karpelès sur le cas Revolut : ils n'auraient pas dû envoyer l'information

• Karpelès critique que Revolut n'ait pas d'abord confirmé la demande avec l'agence demandeuse.
• Les données d'utilisateurs de haut profil ont été diffusées à de présumés acteurs malveillants.

L'ancien directeur exécutif de l'échange de bitcoin (BTC) Mt. Gox, Mark Karpelès, a critiqué la néobanque Revolut pour la diffusion de données privées de ses clients.

Karpelès a critiqué que la plateforme n'ait pas d'abord confirmé la demande avec l'agence demandeuse avant de traiter la livraison massive d'informations confidentielles.

L'incident a été déclenché lorsque l'entité financière a procédé à la livraison de dossiers après avoir reçu un courriel présumément officiel, qui s'est avéré être une usurpation d'identité avancée ayant compromis la vie privée de ses clients.

Selon les déclarations de l'entrepreneur, l'institution financière a commis une "grave erreur méthodologique" en répondant immédiatement à la demande et en reléguant la vérification à un

Revolut n'aurait pas dû envoyer de données clients (KYC, données historiques, etc.) en réponse à un courriel simplement parce qu'il provenait d'une agence gouvernementale.

Mark Karpelès, ancien PDG de Mt. Gox.

Effectivement, les données d'utilisateurs de haut profil de Revolut ont été diffusées à de présumés acteurs malveillants en raison de cette faille dans les protocoles de vérification préalable.

Les informations transférées comprennent des données personnelles d'identification, telles que des noms complets, des dates de naissance, des adresses de domicile, des copies de documents officiels avec photographies, des relevés bancaires avec IBAN, des enregistrements détaillés de retraits et l'historique complet des transactions effectuées sur la plateforme, comme l'a rapporté CriptoNoticias.

En plus des données personnelles, Revolut a remis des historiques d'opérations avec BTC de plusieurs clients, ce qui augmente le risque d'attaques de phishing contre les utilisateurs de la néobanque.

En résumé, Revolut n'aurait pas dû envoyer de données clients (KYC, données historiques, etc.) en réponse à un courriel simplement parce qu'il provenait d'une agence gouvernementale. https://t.co/mhEqMmUZjW
--- Mark Karpelès (@MagicalTux) 13 septembre 2026

"Revolut avait-il raison ?"

L'analyse juridique présentée par l'ancien dirigeant de Mt. Gox indique que l'argument d'agir sous une croyance raisonnable n'a pas de fondement juridique dans les réglementations de l'Union Européenne.

Karpelès a remis en question la position de la néobanque en demandant publiquement : "Revolut avait-il raison de divulguer des informations sur la base d'un courriel ?".

Contrairement à la législation des États-Unis---où la disposition 18 U.S.C. § 2702(b)(8) prévoit des demandes de données d'urgence basées sur la bonne foi du fournisseur---, le cadre réglementaire des pays où opère Revolut impose un secret bancaire strict. En vertu de l'Article 6.1.c du RGPD, toute cession de données exige une obligation légale préalable et n'admet pas de justifications de bonne foi.

En Lituanie ---pays qui régule Revolut--- l'article 55 de la Loi sur les Banques exige des demandes écrites transmises par des canaux préalablement convenus et fixe un délai légal formel de jusqu'à 20 jours pour répondre.

De même, en France, des autorités comme TRACFIN canalisent leurs demandes par des plateformes authentifiées comme ERMES et le Guide des Tiers Autorisés de la CNIL oblige à effectuer des vérifications préalables (comme un appel de confirmation).

Pour toutes ces raisons, toute justification pour traiter une demande non authentifiée de manière immédiate est écartée.

De plus, Karpelès a souligné que les directives pratiques des organismes de protection des données personnelles spécifient clairement que les entités ne peuvent pas valider des demandes basées sur des éléments contextuels ou sur la simple apparence de l'émetteur.

En fait, le protocole de base face aux demandes par courriel exige de réaliser un contact direct de vérification avec l'institution publique par le biais de numéros ou de canaux de communication officiels publiés de manière indépendante.

Ce cas met en évidence l'avancée de l'ingénierie sociale et des outils de plus en plus précis des hackers et attaquants, qui ont su contourner les contrôles et barrières pour accéder à des informations privilégiées. D'où l'importance d'optimiser les processus de sécurité par des outils automatisés et d'intelligence artificielle (IA), comme l'ont suggéré des spécialistes à ce média.