Les vols d'identité chez Revolut mettent en lumière les dangers des procédures KYC : voici comment y remédier

Le vol massif de plus de 153 millions de permis de conduire américains et canadiens ce mois-ci doit faire comprendre une chose claire : l’endroit le plus sûr pour une copie de votre permis est nulle part.

Ces pièces d’identité divulguées, provenant apparemment d’un prestataire de vérification d’identité, ont atterri sur le service d’identité du dark web baptisé Nexus, aux côtés de millions d’autres documents d’identité et de voyage volés.

Le danger a été souligné cette semaine après que la fintech Revolut a révélé avoir été trompée par un pirate informatique, qui a obtenu d’importants volumes de données clients sensibles, notamment des copies de passeports et des selfies de vérification. Le pirate diffuse désormais progressivement les documents d’identité de 680 clients sur le web afin d’obtenir une rançon de 10 000 bitcoins.

L’ironie est frappante : les procédures « Connaître son client » (KYC) visent à renforcer la sécurité des systèmes financiers en identifiant les clients et en s’assurant qu’ils ne commettent pas d’actes malveillants.

Or leur mise en œuvre habituelle oblige les entreprises à stocker d’énormes quantités d’informations sensibles, créant ainsi des « pots de miel » très attractifs pour les criminels.

Et le problème devient de plus en plus difficile à ignorer. Au seul premier semestre 2026, les violations de données aux États-Unis ont affecté au moins 343 millions de personnes, selon le Privacy Rights Clearinghouse. Plus frustrant encore, il est déjà possible de vérifier l’identité d’une personne sans stocker ses documents d’identité, grâce aux preuves à divulgation nulle de connaissance.

Efrat Fenigson, animatrice du podcast You’re The Voice, écrit et parle abondamment de confidentialité et de KYC. Elle déclare à Magazine :

« Lorsque les régulateurs imposent continuellement un modèle qui garantit ce type de fuites — alors qu’une technologie permettant de vérifier sans stocker existe déjà — cela constitue un signal d’alerte. Cela suggère un manque de raisonnement rationnel et de véritable volonté de résoudre ces problèmes. »

Alors, combien de fuites supplémentaires faudra-t-il encore avant que cette volonté ne commence à évoluer ?

Le KYC a été conçu pour collecter votre identité, pas seulement pour la vérifier

Les systèmes KYC actuels reposent essentiellement sur l’hypothèse que les institutions doivent examiner les passeports ou permis de conduire des clients, enregistrer les informations pertinentes, puis conserver la preuve de cette vérification.

343 millions de personnes ont déjà été touchées par des violations de données aux États-Unis en 2026. Source : Privacy Rights Clearinghouse.

Mais cette approche comporte un problème évident : elle a engendré un vaste écosystème de prestataires d’identité, de bases de données, de fournisseurs et de systèmes de conformité, chacun stockant séparément une importante quantité de vos données KYC. Chaque copie supplémentaire de vos données crée un nouveau point de défaillance potentiel — et les pirates deviennent de plus en plus ingénieux pour y accéder.

Dans le cas de Revolut, le pirate a envoyé des courriels demandant les données KYC depuis une adresse officielle légitime des forces de l’ordre italiennes. Lyudmyla Kozlovska, présidente d’Open Dialogue, a déclaré sur X que les lois européennes laissaient à Revolut l’obligation de se conformer.

« La loi européenne anti-blanchiment (AML) n’impose aucune obligation de vérification à la banque et ne prévoit aucun mécanisme significatif pour identifier réellement l’expéditeur d’une demande étatique authentifiée. Refuser de répondre expose à des amendes de plusieurs millions. En pratique, toute vérification est impossible. »

Susie Violet Ward, directrice et cofondatrice de Bitcoin Policy UK, met en garde contre le stockage inutile des données d’identité :

« Nous devons cesser de considérer la vérification de l’identité et la remise de votre identité comme une seule et même chose. »

Si une entreprise n’a besoin que de savoir qu’une personne a plus de 18 ans, elle affirme qu’il ne devrait pas être nécessaire d’obtenir automatiquement d’autres informations, comme le nom complet, l’adresse, la date exacte de naissance ou une copie permanente des documents d’identité concernés :

« L’ironie est que la procédure KYC vise à renforcer la sécurité des systèmes, mais sa mise en œuvre actuelle peut engendrer un problème de sécurité totalement différent. Après une violation, on peut réinitialiser un mot de passe, mais on ne peut pas « réinitialiser » son identité de la même manière. »

La technologie permettant d’éviter l’accumulation d’identifiants existe déjà.

Pour les partisans de la cryptomonnaie, la solution évidente consiste à utiliser des preuves à divulgation nulle de connaissance (ZKP). Il s’agit d’une démonstration mathématique attestant qu’une affirmation est vraie sans en révéler les détails. Par exemple, une application mobile peut générer une preuve confirmant que votre permis de conduire indique que vous avez plus de 18 ans, sans transmettre votre date de naissance ni une photo du permis lui-même.

Le fondateur de Zcash, Zooko Wilcox, fournit une explication utile de cette technologie ZK dans cette vidéo.

Explication utile de la technologie ZK. Source : Crypto Fireside

Evin McMullen, directrice générale et cofondatrice de Billions Network — société développant des solutions d’identité numérique préservant la vie privée et des ZKP — déclare à Magazine :

« Cette technologie fonctionne déjà et est déployée aujourd’hui dans des milliers d’applications et d’institutions réglementées. Ce qui la freine, c’est que l’ensemble de la chaîne de conformité a été conçue autour de la collecte et du stockage de copies de documents. »

Selon McMullen, l’obstacle n’était « jamais la technologie », mais bien les règles, les incitations et les infrastructures qui y sont associées :

« Il s’agit d’un problème de gouvernance et de normes, déguisé en défi technologique. »

Si la technologie fonctionne, qu’est-ce qui l’empêche de se généraliser ?

L’Union européenne intègre déjà la technologie ZK dans la conception de ses systèmes d’identité numérique et de vérification de l’âge, développant ainsi une vérification d’âge respectueuse de la vie privée, permettant aux utilisateurs de prouver leur âge sans révéler leur identité complète ni leur date exacte de naissance.

Son portefeuille d’identité numérique prend également en charge la « divulgation sélective », ce qui permet aux utilisateurs de ne révéler que les informations nécessaires à une transaction donnée.

Alors, pourquoi cette approche n’est-elle pas plus largement déployée pour la conformité KYC financière ?

Selon McMullen, « la réglementation et la compréhension » constituent les principaux obstacles à l’adoption :

« Le blocage le plus courant est que les équipes de conformité confondent “nous avons vu la pièce d’identité” avec “nous devons conserver la pièce d’identité”, ce qui les pousse à collecter excessivement par précaution. »

Elle précise que l’interopérabilité constitue un autre défi, car les preuves cryptographiques ne sont utiles que « si la partie qui s’y fie peut les vérifier sans devoir contacter l’émetteur ». Cela exige la mise en place de normes partagées — plus facile à dire qu’à faire.

Les ZKP ne résolvent pas magiquement la conformité KYC

Il existe une autre mise en garde importante : remplacer un document d’identité par une preuve à divulgation nulle de connaissance n’élimine pas automatiquement tous les problèmes liés à la confidentialité ou à la sécurité.

Fenigson souligne que ce à quoi une accréditation ZK reste liée est tout aussi important :

« Les incitations orientent vers le contrôle, pas la vie privée. Les preuves à divulgation nulle permettent de prouver un fait, comme avoir plus de 18 ans ou ne pas figurer sur une liste de sanctions [...] Ce qui manque, c’est ce à quoi cette preuve est liée. Actuellement, elle l’est généralement à un compte dans la base de données d’un tiers. »

Le portefeuille d’identité numérique de l’UE prend en charge la divulgation sélective. Source : Commission européenne

Tout se résume donc à qui contrôle définitivement l’accréditation. Si une personne génère une preuve préservant la vie privée, mais que celle-ci est liée à un compte dans la base de données d’un tiers, elle dépend encore d’un intermédiaire centralisé.

Les règles ne sont pas aussi claires qu’on pourrait le penser

Dans bien des cas, les règles ne requièrent pas réellement le stockage des données d’identité — c’est plutôt une convention, car c’est ainsi qu’on a toujours procédé.

Les orientations du Groupe d’action financière (GAFI) examinent explicitement comment les systèmes d’identité numérique peuvent servir à effectuer la diligence raisonnable à l’égard des clients, sans imposer aux institutions de s’appuyer sur des documents d’identité physiques.

Les recommandations du GAFI fonctionnent aussi selon un cadre fondé sur le risque, laissant aux pays individuels le soin de mettre en œuvre les normes via leurs propres systèmes juridiques et réglementaires. « Dans de nombreux pays, la règle exige de vérifier l’identité et de conserver les traces de cette vérification, non pas de conserver indéfiniment l’image brute du document », précise McMullen.

Cela signifie qu’une attestation cryptographiquement vérifiable, accompagnée d’un registre attestant que le contrôle pertinent a été effectué, pourrait suffire pour se conformer à la réglementation, sans créer une autre copie permanente de la pièce d’identité.

Mais, comme ces orientations sont « ambiguës », explique McMullen, les institutions conservent systématiquement tout, car leurs équipes de conformité savent que les auditeurs et inspecteurs l’accepteront.

Autrement dit, même si les règles autorisent techniquement une autre approche, personne ne veut prendre le risque d’être le premier à l’adopter, comme l’explique Ward :

« La réglementation repose instinctivement sur l’idée que plus d’informations signifient plus de contrôle, donc plus de sécurité. »

Il est difficile d’imaginer un changement sans une modification explicite des règles autorisant les preuves à divulgation nulle. Et bien qu’aucun système ne soit parfait, la technologie ZK évite au moins la collecte et la conservation de tant d’informations sensibles. Comme le dit McMullen :

« On ne peut perdre ce qu’on n’a jamais détenu. »

Magazine : 10 des plus grands mystères non résolus de la cryptographie