Fausse réquisition administrative : comment un escroc a obtenu des données clients

Un escroc se faisant passer pour une agence gouvernementale a obtenu de Revolut des données clients sensibles : identités, selfies et historique de transactions. La demande arrivait d'un domaine de messagerie d'apparence officielle et elle a franchi les contrôles d'authentification SPF, DKIM et DMARC. Le cas, rapporté le 12 septembre 2026 par Pasquale Pillitteri, tient en une phrase : personne n'a été piraté, quelqu'un a simplement demandé, et le guichet a répondu.

Pour les équipes de veille et de sécurité, l'épisode est instructif parce qu'il ne relève d'aucune des catégories habituelles. Il n'y a ni exploitation de vulnérabilité, ni logiciel malveillant, ni compte compromis. Il y a un formulaire de réponse aux autorités, une file de traitement, un agent qui lit un courriel conforme et applique la procédure prévue. La chaîne d'attaque emprunte exactement le chemin que l'organisation a construit pour coopérer avec la puissance publique.

Cet article décrit ce que le cas met en évidence du parcours réel d'une réquisition, pourquoi les mécanismes d'authentification de messagerie ne répondent pas à la question posée, et ce que les directions sécurité modifient concrètement dans les jours qui suivent un signalement de ce type. Le fil conducteur est opérationnel : le correctif n'est pas un produit, c'est une procédure et un point de contact vérifiable.

Ce que le cas Revolut dit du parcours réel d'une demande officielle

Une demande d'autorité suit, dans la plupart des établissements, un circuit court et documenté. Elle arrive sur une adresse dédiée, elle est enregistrée, elle passe devant une équipe conformité qui vérifie la forme du document, puis elle déclenche une extraction. Le circuit est conçu pour la rapidité, parce qu'une réquisition traitée tardivement expose l'établissement à un reproche judiciaire. Cette pression de délai est précisément ce que l'usurpateur achète en se présentant sous les couleurs d'une administration.

Le détail rapporté par Pasquale Pillitteri qui compte le plus n'est pas la nature des données livrées, aussi sensibles soient-elles, mais le fait que le domaine émetteur ait eu une apparence officielle. Un nom de domaine proche, enregistré et configuré correctement, produit une signature technique impeccable. Rien dans l'en-tête du message ne signale l'anomalie, parce qu'il n'y a pas d'anomalie technique à signaler.

Pour une cellule de veille, ce type de cas se traite comme un signal faible sur la surface d'attaque de l'organisation, et non comme un incident isolé survenu chez un tiers. Le mode opératoire est réplicable à l'identique contre n'importe quelle structure disposant d'un guichet légal : banques, opérateurs télécoms, hébergeurs, registres de noms de domaine, services de mobilité.

SPF, DKIM et DMARC authentifient un domaine, jamais une autorité

Les trois mécanismes cités dans le signalement répondent à des questions précises et limitées. SPF déclare quels serveurs ont le droit d'expédier pour un domaine. DKIM appose une signature cryptographique qui atteste que le message n'a pas été altéré en transit. DMARC indique au destinataire quoi faire quand les deux premiers échouent. Aucun des trois ne se prononce sur la légitimité de l'expéditeur à formuler une réquisition.

La confusion est courante et l'interface l'entretient : une mention de message authentifié, un domaine qui ressemble à celui d'un ministère, aucune alerte visible. L'agent qui traite la demande lit ces indices comme une validation d'identité alors qu'ils ne valident qu'une cohérence d'acheminement. Un domaine frauduleux correctement paramétré obtient les mêmes indicateurs au vert qu'un domaine légitime, en quelques minutes et pour quelques euros.

La conséquence pratique est nette : la vérification ne doit pas se faire sur le canal qui porte la demande. Rappeler l'administration sur un numéro figurant dans le courriel revient à demander à l'escroc de confirmer qu'il est bien celui qu'il prétend être. Le contrôle n'a de valeur que s'il emprunte un canal indépendant, construit à l'avance et tenu à jour.

Le point de rupture se situe au guichet, pas sur le serveur

Les directions sécurité qui reconstituent ce type d'incident aboutissent presque toujours au même endroit : un poste de traitement où une personne, sous contrainte de volume et de délai, dispose d'un pouvoir d'extraction étendu et d'aucun moyen simple de douter. Le droit de douter coûte du temps, et rien dans l'organisation du poste ne récompense ce temps.

Cette asymétrie explique pourquoi les investissements purement techniques déçoivent. Ajouter un filtre antispam, durcir la politique DMARC ou acheter une passerelle de messagerie supplémentaire ne change rien à un message dépourvu de défaut technique. Ce qui change quelque chose est une règle d'organisation : au-dessus d'un certain niveau de sensibilité, aucune donnée ne sort sans un contre-appel documenté, quel que soit l'expéditeur apparent.

Dans les dispositifs documentés par l'Observatoire de l'Intelligence Économique, la procédure de réponse aux demandes d'autorité existe presque partout sur le papier, mais elle décrit le plus souvent le format du document attendu et rarement la manière de vérifier l'émetteur. C'est cet angle mort procédural, et non un défaut d'outillage, que les cas d'usurpation viennent révéler.

Ce que les équipes de veille et de sécurité mettent en place ensuite

Le premier geste est un annuaire de contacts de rappel, constitué à froid, à partir des coordonnées publiées par les administrations elles-mêmes, et stocké hors de la boîte de réception. Le deuxième est une règle de séparation : la personne qui reçoit la demande n'est pas celle qui valide l'identité de l'émetteur. Le troisième est une trace écrite de chaque vérification, horodatée et conservée, qui rend l'écart visible lors d'un audit.

Le volet veille consiste à surveiller en continu les dépôts de noms de domaine proches de ceux des administrations de référence et de l'organisation elle-même, ainsi que les mentions publiques d'un mode opératoire d'usurpation dans son secteur. NewsCore (www.newscore.fr) couvre en continu des millions de sources et fait remonter ces signaux en temps réel, chaque alerte restant reliée à son document d'origine.

Le troisième volet est la formation courte des postes exposés, appuyée sur des cas réels et récents. Une équipe qui a lu le déroulé d'une fausse réquisition reconnaît le schéma quand il se présente devant elle. Cette mémoire opérationnelle se périme vite, ce qui plaide pour une diffusion régulière des cas documentés plutôt que pour une session annuelle de sensibilisation.

Un quatrième point revient dans les retours d'expérience : la conduite à tenir quand le contre-appel échoue. Une administration injoignable dans l'heure ne rend pas la demande légitime, et l'absence de réponse doit conduire à suspendre le traitement, jamais à l'accélérer au motif que le délai court. Les équipes qui n'ont pas écrit cette règle finissent par arbitrer dans l'urgence, au niveau du collaborateur isolé, ce qui reproduit exactement la situation que la procédure devait empêcher. La règle écrite protège d'abord la personne qui traite la demande.

Souveraineté des données et réduction de la surface de demande

Un dernier angle, moins immédiat, concerne le volume de données qu'une organisation détient et la géographie de leur hébergement. Moins un établissement conserve de pièces d'identité, de selfies de vérification et d'historiques détaillés au-delà de la durée légale, moins une demande frauduleuse rapporte. La minimisation n'est pas seulement une obligation réglementaire, c'est une réduction mécanique du gain espéré par l'attaquant.

Cet inventaire se conduit comme une cartographie : lister les jeux de données susceptibles d'être demandés, identifier qui détient le droit de les extraire, mesurer la durée réelle de conservation au regard de la durée annoncée. L'exercice révèle presque toujours des copies oubliées, des exports de test et des sauvegardes qui prolongent la vie de pièces d'identité bien au-delà de ce que la politique interne prévoit.

Le mouvement de reprise en main est visible ailleurs. Yahoo Tech rapporte que la Suisse migre progressivement de Microsoft 365 vers openDesk, une suite bureautique open source, au nom de la souveraineté numérique, avec un déploiement prévu pour 3 000 agents de la Chancellerie fédérale d'ici fin 2027 et l'engagement du Cyber Command des forces armées suisses. Le motif diffère, la logique est la même : savoir où sont les données et qui décide de leur sortie.

Questions fréquentes

Comment vérifier qu'une réquisition administrative est authentique ?

La vérification passe par un canal indépendant du message reçu. On rappelle le service émetteur sur un numéro issu d'un annuaire officiel constitué à l'avance, jamais sur les coordonnées figurant dans le courriel ou dans le document joint. On consigne le nom de l'interlocuteur, l'heure et la référence du dossier. Tant que ce contre-appel n'a pas abouti, aucune donnée ne sort.

SPF, DKIM et DMARC protègent-ils contre une fausse demande gouvernementale ?

Non, et le cas rapporté le démontre. Ces trois mécanismes vérifient qu'un message provient bien du domaine qu'il affiche et qu'il n'a pas été modifié en route. Un attaquant qui enregistre son propre domaine d'apparence officielle et le configure correctement obtient des contrôles au vert. Ils réduisent l'usurpation d'un domaine existant, pas la création d'un domaine ressemblant.

Faut-il refuser une demande d'autorité le temps de la vérifier ?

Le refus n'est pas l'objet. La réponse tient en une temporisation explicite : l'établissement accuse réception, annonce un délai de contrôle d'identité et précise le canal par lequel il rappellera. Une administration véritable accepte cette étape sans difficulté, parce qu'elle connaît ses propres exigences de traçabilité. Une insistance à obtenir les données sans contre-appel, appuyée sur une urgence invoquée, constitue en soi un indicateur.

Quels secteurs sont exposés au même mode opératoire que celui subi par Revolut ?

Toute organisation dotée d'un guichet de réponse aux autorités : banques et établissements de paiement, opérateurs télécoms, hébergeurs et registres de noms de domaine, plateformes de mobilité, mutuelles et assureurs, services de santé. Le critère n'est pas le secteur mais l'existence d'une procédure rapide d'extraction, déclenchée par un tiers réputé légitime.