Revolut a confirmé le 12 septembre avoir remis à un tiers non autorisé des copies de passeports et de permis de conduire, des égoportraits de vérification d’identité, des relevés de compte et des historiques de transactions. L’auteur de la demande utilisait le domaine de courriel authentique d’une agence gouvernementale. L’entreprise n’a découvert la fraude qu’en communiquant séparément avec l’organisme prétendument à l’origine de la demande. Depuis, les données circulent publiquement. La question que soulève l’affaire pour une entreprise québécoise n’est pas technique : elle est écrite dans la loi.
Ce qui s’est passé, et ce qui se passe encore
Selon la déclaration transmise par l’entreprise, un tiers non autorisé s’est servi du domaine de courriel légitime d’une agence gouvernementale pour soumettre de fausses demandes de renseignements. La demande portait des éléments d’authentification qui ont franchi les contrôles internes.
Revolut affirme avoir bloqué l’adresse en cause, joint les personnes touchées, alerté l’agence usurpée, les forces de l’ordre, les autorités de protection des données et les régulateurs financiers. Elle qualifie le nombre de clients visés de très limité, sans le chiffrer, et ne nomme ni l’agence ni les pays concernés.
L’affaire a évolué depuis. Le 14 septembre, des comptes revendiquant l’attaque ont commencé à publier des documents d’identité et des égoportraits sur X et Telegram, en annonçant des diffusions quotidiennes jusqu’au versement d’une rançon. Aucun montant n’a été confirmé par l’entreprise ou par une autorité.
La demande d’urgence, une faille documentée depuis 2022
Le procédé n’a rien d’inédit. La demande d’urgence — l’emergency data request — permet à un corps policier d’obtenir des renseignements sans autorisation judiciaire lorsqu’une vie est en jeu. Sa raison d’être est la vitesse.
C’est précisément cette vitesse que les fraudeurs exploitent. En 2022, Apple, Meta et Discord ont livré des données d’utilisateurs à la suite de demandes falsifiées, envoyées depuis des boîtes de courriel de services de police réellement compromises, dans un stratagème attribué au groupe Lapsus$. La faille n’est pas dans les serveurs : elle est dans le fait qu’une adresse de courriel institutionnelle tient lieu de preuve d’autorité.
Ce que la loi québécoise permet — et ce qu’elle exige en creux
La Loi sur la protection des renseignements personnels dans le secteur privé, refondue par la loi 25, énumère à son article 18 les cas où une entreprise peut communiquer un renseignement personnel sans le consentement de la personne concernée. Deux d’entre eux importent ici.
Le premier vise la personne ou l’organisme qui, en vertu d’une loi, détient le pouvoir de contraindre à la communication du renseignement, et qui le requiert dans l’exercice de ses attributions. Le second vise la situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée.
Il faut lire la première exception pour ce qu’elle dit. Elle ne parle pas d’une demande émanant d’une autorité, ni d’un courriel provenant d’un organisme public. Elle parle d’un pouvoir de contraindre. L’objet de la vérification n’est donc pas l’expéditeur : c’est le fondement légal qu’il invoque. Une entreprise qui confirme l’authenticité du domaine de courriel n’a rien vérifié de ce que la loi lui demande de vérifier.
La seconde exception, celle de l’urgence, n’exige pas de mandat — mais elle suppose un danger réel pour la personne concernée, et c’est à l’entreprise qu’il reviendrait d’établir qu’elle en avait des motifs. Un courriel qui l’affirme n’en est pas un.
Demander n’est pas obtenir : ce que la Cour suprême a déjà tranché
Le point n’est pas neuf en droit canadien. Dans R. c. Spencer, rendu à l’unanimité le 13 juin 2014, la Cour suprême du Canada s’est penchée sur l’exception équivalente de la loi fédérale, qui autorise la communication à une autorité gouvernementale ayant un pouvoir légitime d’obtenir le renseignement.
La Cour a conclu que les policiers pouvaient demander les renseignements sur un abonné, mais n’avaient aucun pouvoir d’en contraindre la communication — et que l’exception ne s’appliquait donc pas. Le pouvoir de demander n’est pas le pouvoir d’obtenir. L’arrêt a aussi reconnu une attente raisonnable de vie privée à l’égard des renseignements d’abonné.
Transposé à l’affaire Revolut, le raisonnement est inconfortable pour l’industrie : même si le courriel avait été authentique, même s’il avait réellement émané de l’agence usurpée, une demande sans fondement contraignant n’aurait pas suffi à justifier la communication au Québec. La fraude a révélé une faille de vérification ; elle éclaire surtout une pratique qui prend l’en-tête pour le droit.
Ce qui se déclencherait au Québec
| Obligation | Contenu |
|---|---|
| Mesures de mitigation | Dès qu’il y a motif de croire à un incident de confidentialité, prendre les mesures raisonnables pour réduire le risque de préjudice et éviter la récurrence |
| Avis à la Commission d’accès à l’information | Sans délai, si l’incident présente un risque de préjudice sérieux |
| Avis aux personnes concernées | Aux mêmes conditions, sauf si cela risque d’entraver une enquête criminelle |
| Évaluation du risque | Sensibilité des renseignements, conséquences appréhendées, probabilité d’une utilisation préjudiciable, en consultation avec le responsable de la protection des renseignements personnels |
| Registre | Tenue d’un registre des incidents, conservé au moins cinq ans, que la Commission peut exiger |
| Registre des communications | L’article 18 impose de consigner certaines communications faites sans consentement |
La Commission d’accès à l’information définit l’incident de confidentialité comme « tout accès à un renseignement personnel non autorisé ». Une communication à un imposteur en relève sans discussion. Au cours de l’exercice clos le 31 mars 2025, la Commission a reçu 514 avis d’incident et en a traité 736.
Ce que cela coûterait
Le régime de sanctions est celui que la loi 25 a mis en place. La Commission peut imposer des sanctions administratives pécuniaires atteignant 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Les amendes pénales vont de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d’affaires mondial pour une entreprise, le montant le plus élevé s’appliquant, et de 5 000 $ à 100 000 $ pour une personne physique ; elles doublent en cas de récidive.
S’y ajoute un recours civil. Depuis le 22 septembre 2023, l’article 93.1 permet à la personne dont les droits ont été violés de réclamer des dommages-intérêts punitifs d’au moins 1 000 $ lorsque l’atteinte est illicite et intentionnelle, ou résulte d’une faute lourde. Pour une fuite touchant des milliers de personnes, la mécanique de l’action collective fait le reste.
Une précision s’impose : Revolut a quitté le marché canadien en 2021 et n’y offre pas ses services. Aucune de ces dispositions ne s’applique à elle. L’intérêt de l’affaire, pour un lecteur québécois, est ailleurs — dans le fait qu’une entreprise réglementée, soumise à des obligations d’identification parmi les plus strictes qui soient, a livré des passeports à un inconnu parce que son adresse de courriel était la bonne.
La loi québécoise ne demande pas de reconnaître une autorité. Elle demande de vérifier un pouvoir. Ce sont deux gestes différents, et un seul des deux résiste à un courriel bien imité.
Références
Whittaker, Z. (2026, 12 septembre). Revolut confirms customer data breach through fake government requests. TechCrunch. techcrunch.com
CoinDesk. (2026, 12 septembre). Bitcoin activity, passports exposed after Revolut falls for fake government request. coindesk.com
The Crypto Times. (2026, 14 septembre). Revolut hackers begin leaking customer passports and selfies. cryptotimes.io
Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, art. 3.5 à 3.8, 18 et 93.1. legisquebec.gouv.qc.ca
Commission d’accès à l’information du Québec. Incidents de confidentialité et mesures de sécurité — entreprises. cai.gouv.qc.ca
Commission d’accès à l’information du Québec. Sanctions — entreprises et poursuites. cai.gouv.qc.ca
Commission d’accès à l’information du Québec. (2025). Dépôt du rapport annuel d’activités et de gestion 2024-2025. cai.gouv.qc.ca
R. c. Spencer, 2014 CSC 43. Analyse consultée : Fraser, D. Canadian Privacy Law Blog. blog.privacylawyer.ca
Slate. (2022, avril). Apple, Meta, and Discord gave data in response to forged law enforcement requests. slate.com
AML Intelligence. (2026, septembre). Sensitive Revolut customer data leaked to scammers. amlintelligence.com
Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.
