Fuite de données : vos cryptos en danger ?

Daniel Platteau crypto news

En bref : pour ouvrir un compte sur une plateforme crypto ou une néobanque, vous avez confié votre pièce d'identité, votre adresse et parfois un selfie. Quand ces données fuient, comme chez Revolut en septembre 2026, elles servent d'abord à des arnaques très crédibles, et parfois à repérer des détenteurs de cryptos chez eux : la France compte désormais plus d'une agression ou tentative de rapt liée aux cryptos par semaine. Vous ne pouvez pas empêcher une fuite, mais vous pouvez la rendre inutile : ne jamais suivre un lien ou un numéro reçu, protéger vos comptes, séparer ce que vous détenez, et surtout ne pas faire savoir ce que vous possédez.

Mis à jour le 15 octobre 2026. Cet article ne constitue pas un conseil financier.

Ce qui s'est passé chez Revolut

En septembre 2026, Revolut a envoyé des données de clients à un escroc qui se faisait passer pour une administration. Les demandes venaient d'une adresse e-mail appartenant réellement au domaine d'un organisme public, que des pirates avaient détournée ; la presse belge parle d'une administration italienne (Business AM, 2026). Les systèmes de Revolut n'ont pas été piratés : c'est de l'ingénierie sociale, une manipulation qui consiste à tromper une personne plutôt qu'à forcer un ordinateur (Arntz, 2026).

Les données envoyées sont parmi les plus sensibles qui existent :

• nom, date de naissance, adresse postale, e-mail et téléphone ;
• copies de passeports et de permis de conduire ;
• les selfies de vérification d'identité ;
• des relevés de compte et l'historique des transactions.

Selon la presse, 680 clients sont concernés, dont 55 en France ; Revolut rembourse le remplacement de leurs papiers d'identité (Business AM, 2026). La banque dit que l'argent des clients n'a pas été touché et qu'elle a prévenu directement les personnes concernées (Arntz, 2026). Revolut compte plus de 80 millions de clients dans le monde, dont beaucoup en Belgique.

Ce n'est pas un cas isolé. En 2020, une fuite chez Ledger, le fabricant français de portefeuilles matériels, avait exposé les noms, adresses postales et numéros de téléphone de quelque 272 000 clients (CoinDesk, 2020). Plus récemment, une fuite chez Waltio, un service français de déclaration fiscale des cryptos, a exposé les adresses e-mail de dizaines de milliers de clients (Morin, 2026b).

Pourquoi c'est plus grave pour un détenteur de cryptos

Une banque qu'on garde chez soi

Une gendarme spécialisée le résume ainsi : détenir des cryptos, c'est comme avoir une banque chez soi, mais sans aucune sécurité physique (Morin, 2026b). Un virement bancaire frauduleux peut parfois être bloqué ; un transfert de bitcoins, lui, est instantané et irréversible. C'est ce qui rend les détenteurs de cryptos intéressants pour les criminels.

Des rapts en forte hausse, surtout en France

En France, le parquet spécialisé dans la criminalité organisée recensait à la mi-avril 2026 135 enlèvements ou tentatives liés aux cryptos depuis 2023, dont 18 en 2024, 67 en 2025 et déjà 47 dossiers ouverts en 2026. Depuis janvier 2026, cela fait environ un fait tous les deux à trois jours, souvent très violent (Morin, 2026a). La gendarmerie établit un lien entre cette hausse et plusieurs grandes fuites de données qui ont exposé l'identité, les avoirs et l'adresse de nombreux détenteurs (Morin, 2026a).

Le phénomène dépasse la France : du 5 au 9 octobre 2026, la gendarmerie française a formé à Lille des enquêteurs de 26 pays, avec Europol (Rencurel, 2026). La Belgique est voisine, partage la langue de beaucoup de victimes françaises, et ses habitants utilisent les mêmes plateformes.

Le vrai danger quotidien : l'arnaque sur mesure

Avec votre nom, votre adresse, votre banque et parfois l'historique de vos transactions, un escroc peut vous appeler en se présentant comme le « service sécurité » de votre plateforme, citer des détails exacts, et vous pousser à « sécuriser » vos fonds en les envoyant vers une adresse qu'il contrôle. C'est l'hameçonnage (ou phishing) ciblé : plus il est précis, plus il est crédible.

Êtes-vous concerné ?

Les bons réflexes

1. Ne jamais suivre un lien ou un numéro reçu

Un message ou un appel qui vous demande de « sécuriser votre compte », d'annuler un transfert ou de remplacer vos documents doit être tenu pour suspect, même s'il connaît votre nom et votre adresse. Ne cliquez sur aucun lien, ne rappelez aucun numéro reçu : passez vous-même par l'application officielle ou le site tapé à la main (Arntz, 2026). Aucune plateforme sérieuse ne vous demandera votre phrase de récupération (les 12 ou 24 mots de votre portefeuille) : quiconque la demande est un escroc.

En Belgique, vous pouvez transférer un message suspect à suspect@safeonweb.be, l'adresse du Centre pour la cybersécurité Belgique.

2. Verrouiller vos comptes

• Un mot de passe différent pour chaque plateforme, gardé dans un gestionnaire de mots de passe.
• La double authentification partout, de préférence par une application (ou une clé de sécurité) plutôt que par SMS : un escroc peut se faire attribuer votre numéro de téléphone auprès de votre opérateur.
• Une liste blanche d'adresses de retrait quand la plateforme le permet : les fonds ne peuvent alors partir que vers des adresses enregistrées à l'avance.
• Vérifiez régulièrement les appareils connectés, les cartes et les bénéficiaires enregistrés sur vos comptes (Arntz, 2026).

3. Séparer ce que vous détenez

Ne gardez sur une plateforme que ce dont vous avez besoin pour acheter ou vendre. Le reste peut être conservé dans un portefeuille matériel (une petite clé qui garde vos clés privées hors d'Internet), dont la phrase de récupération est notée sur papier ou sur métal et rangée hors de vue : jamais en photo, jamais dans le cloud, et jamais tapée sur un ordinateur ou un téléphone. Pour des montants importants, certains utilisateurs séparent leurs avoirs entre plusieurs portefeuilles ou exigent plusieurs signatures pour un retrait.

4. Être discret, en ligne et autour de vous

C'est le conseil le plus simple et le plus négligé :

• ne publiez ni vos gains, ni des captures d'écran de vos portefeuilles, ni votre adresse de portefeuille liée à votre nom ;
• évitez de porter des vêtements ou objets aux couleurs du bitcoin, de vous présenter comme « investisseur crypto » sur LinkedIn ou d'en parler à des inconnus ;
• achetez un portefeuille matériel chez le fabricant ou un revendeur officiel, faites-le livrer à un point relais plutôt qu'à votre domicile, vérifiez que l'emballage est intact et initialisez-le vous-même ;
• en famille, mettez-vous d'accord sur ce qu'on dit, et à qui.

5. Si l'on vous menace

Votre sécurité passe avant vos cryptos. En cas de menace ou d'agression, n'opposez pas de résistance et prévenez la police au 101 dès que possible, puis la plateforme concernée. Un transfert sous contrainte est irréversible. Les enquêteurs savent suivre les fonds sur la blockchain, et parfois les faire geler quand ils passent par une plateforme qui coopère : la gendarmerie française décrit des rançons gelées dans ses enquêtes (Morin, 2026b). Ce n'est jamais garanti.

Pour aller plus loin : pourquoi les plateformes ont toutes vos données

Une plateforme crypto agréée sous le règlement européen MiCA est aussi soumise aux règles contre le blanchiment, qui l'obligent à identifier ses clients : c'est le KYC (Know Your Customer, « connaissez votre client »). Une copie de votre pièce d'identité, un selfie et votre adresse sont donc stockés, parfois pendant des années après la fermeture de votre compte, pour pouvoir répondre aux autorités.

C'est une protection contre le blanchiment, mais c'est aussi une réserve de données très convoitée. L'affaire Revolut montre que le point faible n'est pas toujours technique : un faux courrier d'une « autorité » a suffi. Vous pouvez demander à une plateforme quelles données elle conserve et pendant combien de temps, grâce au droit d'accès prévu par le RGPD. Clôturer les comptes que vous n'utilisez plus limite les risques, même si la plateforme doit garder certaines données pendant la durée imposée par la loi.

Testez-vous

Sources

Arntz, P. (2026, 14 septembre). Revolut a transmis des pièces d'identité et des données financières de clients à un faux représentant de l'administration. Malwarebytes. https://www.malwarebytes.com/fr/blog/news/2026/09/revolut-gave-customer-ids-and-financial-data-to-a-government-impostor

Business AM. (2026, 8 octobre). Revolut indemnise les clients qui doivent demander de nouveaux documents d'identité à la suite d'une fuite de données. https://fr.businessam.be/?p=286902

CoinDesk. (2020, 21 décembre). Why Ledger kept all that customer data in the first place. https://coindesk-coindesk-prod.cdn.arcpublishing.com/business/2020/12/21/why-ledger-kept-all-that-customer-data-in-the-first-place/

Morin, C. (2026a, 12 septembre). La stratégie de la gendarmerie face aux cryptorapts (partie 1/2). Gendinfo, Gendarmerie nationale. https://www.gendarmerie.interieur.gouv.fr/gendinfo/terrain/immersion/2026/la-strategie-de-la-gendarmerie-face-aux-cryptorapts-partie-1-2

Morin, C. (2026b, 13 septembre). La stratégie de la gendarmerie face aux cryptorapts (partie 2/2). Gendinfo, Gendarmerie nationale. https://www.gendarmerie.interieur.gouv.fr/gendinfo/terrain/immersion/2026/la-strategie-de-la-gendarmerie-face-aux-cryptorapts-partie-2-2

Rencurel, R. (2026, 13 octobre). Criminalité crypto : la France forme les autres pays (UNCyber). Cryptoast. https://cryptoast.fr/criminalite-crypto-rapts-france-enqueteurs-26-pays-uncyber/