01Le scénario : un cheval de Troie administratif
La planche met en scène un cheval de Troie poussé par des silhouettes encagoulées jusqu'à l'entrée de Revolut. Sur son flanc, une bannière : « Government Request ». Les vérifications d'authentification de messagerie — SPF, DKIM, DMARC — sont toutes cochées en vert, avec la mention « apparently legitimate ». Les agents de sécurité regardent passer la demande ; derrière la porte s'affichent les données que vise l'opération.
- documents KYC ;
- données d'identité ;
- historiques de transactions ;
- coordonnées de comptes.
La confiance peut être une vulnérabilité.Philippe Henry, « Revolut : quand la confiance devient une vulnérabilité », septembre 2026
02Ce que la planche met en lumière
Les contrôles SPF, DKIM et DMARC vérifient qu'un message provient bien du domaine qu'il revendique. Ils ne disent rien de la légitimité de la personne qui l'envoie, ni de la réalité de la procédure invoquée. Une réquisition frauduleuse émise depuis une adresse officielle compromise, ou habilement imitée, franchit donc les barrières techniques.
Le risque est d'autant plus élevé que ces demandes jouent sur l'autorité et l'urgence, et que les équipes sont formées à coopérer avec les autorités. Pour un établissement financier, les données en jeu (KYC, identité, transactions) sont parmi les plus sensibles qu'il détienne.
03Les réflexes à installer
- Vérifier hors bandeConfirmer toute demande d'autorité par un canal connu et indépendant du message reçu, jamais par les coordonnées qu'il fournit.
- Formaliser le circuitCentraliser le traitement des réquisitions dans une équipe dédiée, avec une procédure écrite et une double validation.
- Limiter le périmètreNe transmettre que les données strictement visées par une réquisition dont le fondement a été vérifié.
- Former et testerSensibiliser les équipes à l'ingénierie sociale par l'autorité et l'urgence, y compris par des exercices.
Ces bonnes pratiques relèvent de la lecture OpenbanQ ; la planche originale est disponible en PDF.
Sources : Philippe Henry, « Revolut : quand la confiance devient une vulnérabilité », septembre 2026 (illustration) ; lecture OpenbanQ.