Les vols de pièces d’identité chez Revolut soulignent les dangers du KYC : comment y remédier

Le vol massif de plus de 153 millions de permis de conduire américains et canadiens au début du mois devrait rendre une chose parfaitement claire : le lieu le plus sûr pour conserver une copie de votre permis de conduire, c’est nulle part.

Les pièces d’identité divulguées, qui semblent provenir d’un prestataire de vérification d’identité, ont fini sur un service d’identification du dark web baptisé Nexus, aux côtés de millions d’autres documents d’identité et de voyage volés.

Le danger a été souligné cette semaine lorsque la fintech Revolut a révélé qu’un hacker l’avait trompée pour lui faire transmettre des quantités de données sensibles sur ses clients, notamment des copies de passeports et des selfies de vérification. Le hacker diffuse désormais au compte-gouttes les documents d’identité de 680 clients sur internet, dans le but d’obtenir une rançon de 10 000 bitcoins.

L’ironie est difficile à ignorer : les procédures de connaissance du client (KYC) sont conçues pour rendre les systèmes financiers plus sûrs en établissant l’identité des clients et en vérifiant qu’ils ne se livrent pas à des activités malveillantes.

Mais la manière dont le KYC est généralement mis en œuvre oblige les entreprises à stocker d’immenses quantités d’informations sensibles, ce qui crée des pots de miel très attractifs pour les criminels.

Et le problème devient de plus en plus difficile à ignorer. Au premier semestre 2026 seulement, les violations de données aux États-Unis ont touché au moins 343 millions de personnes, selon la Privacy Rights Clearinghouse. Plus frustrant encore, il est déjà possible de vérifier l’identité d’une personne sans conserver ses documents d’identité grâce aux preuves à divulgation nulle de connaissance :

Efrat Fenigson, animatrice du podcast You’re The Voice, écrit et s’exprime abondamment sur la vie privée et le KYC. Elle déclare à Magazine :

« Lorsque les régulateurs continuent d’imposer un modèle qui garantit ce résultat — alors que la technologie permettant de vérifier sans conserver les données existe déjà — cela devrait tirer la sonnette d’alarme. Cela laisse entendre qu’il manque une réflexion rationnelle et une réelle volonté de résoudre les problèmes. »

Combien faudra-t-il encore de ces fuites avant que cette volonté ne commence à fléchir ?

Le KYC a été conçu pour collecter votre identité, pas seulement pour la vérifier

Les systèmes KYC actuels ont largement évolué autour de l’idée que les institutions devraient consulter les passeports ou permis de conduire de leurs clients, enregistrer les informations pertinentes, puis conserver la preuve de cette vérification.

343 millions de personnes ont déjà été touchées par des violations de données aux États-Unis en 2026. Source: Privacy Rights Clearinghouse.

Mais cette approche pose un problème évident : elle a créé un vaste écosystème de prestataires d’identité, de bases de données, de fournisseurs et de systèmes de conformité qui stockent tous des trésors distincts de vos données KYC personnelles. Chaque copie supplémentaire de vos données crée un autre point de défaillance potentiel — et les hackers rivalisent de créativité pour trouver des moyens d’y accéder.

Dans le cas de Revolut, le hacker a envoyé des e-mails demandant les données KYC depuis une adresse légitime des forces de l’ordre italiennes. Lyudmyla Kozlovska, présidente d’Open Dialogue, a déclaré sur X que les lois de l’UE ne laissaient à Revolut d’autre choix que de s’exécuter.

« La législation européenne contre le blanchiment d’argent n’impose à la banque aucune obligation de vérification et ne fournit aucun mécanisme réel permettant de vérifier qui se trouve véritablement derrière une demande authentifiée émanant de l’État. Refuser de répondre expose à des amendes se chiffrant en millions. En pratique, la vérification est impossible. »

À lire aussi : 200 000 « victimes » fictives générées par l’IA pour piéger les fraudeurs en ligne

Susie Violet Ward, directrice et cofondatrice de Bitcoin Policy UK, estime que le véritable problème réside dans le stockage inutile des données d’identité :

« Nous devons cesser de considérer la vérification d’identité et la remise de votre identité comme s’il s’agissait d’une seule et même chose. »

Si une entreprise a seulement besoin de savoir qu’une personne a plus de 18 ans, elle ne devrait pas automatiquement avoir besoin d’informations supplémentaires telles que votre nom complet, votre adresse, votre date de naissance exacte et une copie permanente des documents d’identité concernés, fait-elle valoir :

« L’ironie est que le KYC est conçu pour rendre les systèmes plus sûrs, mais la manière dont nous le mettons actuellement en œuvre peut créer un problème de sécurité totalement différent. On peut réinitialiser un mot de passe après une fuite, mais on ne peut pas réinitialiser son identité de la même manière. »

La technologie permettant de mettre fin à l’accumulation des pièces d’identité existe déjà

Pour les partisans des cryptomonnaies, la solution évidente consiste à utiliser des preuves à divulgation nulle de connaissance. Il s’agit d’une preuve mathématique qui démontre qu’une chose est vraie sans en révéler les détails. Par exemple, une application téléphonique peut générer une preuve confirmant que votre permis de conduire indique que vous avez plus de 18 ans, sans transmettre votre date de naissance ni une image du permis lui-même.

Le fondateur de Zcash, Zooko Wilcox, fournit une explication utile de la technologie ZK dans cette vidéo.

Une explication utile de la technologie ZK. Source : Crypto Fireside

Evin McMullen, directeur général et cofondateur de Billions Network, qui développe des solutions d’identité numérique et de ZK préservant la vie privée, déclare à Magazine :

« La technologie fonctionne et est déjà utilisée en production, dans des milliers d’applications et d’institutions réglementées. Ce qui la freine, c’est que toute la chaîne de conformité a été conçue autour de la collecte et du stockage de copies de documents. »

McMullen affirme que l’obstacle n’a « jamais été la technologie », mais les règles, les incitations et les infrastructures construites autour d’elle :

« Il s’agit d’un problème de gouvernance et de normes qui se fait passer pour un problème technologique. »

Si la technologie fonctionne, qu’est-ce qui l’empêche de se généraliser ?

L’Union européenne intègre déjà la technologie ZK dans la conception de ses systèmes d’identité numérique et de vérification de l’âge, en développant une vérification de l’âge préservant la vie privée qui permet aux utilisateurs de prouver leur âge sans révéler leur identité complète ni leur date de naissance exacte.

À lire aussi : Les craintes d’une épidémie de piratages de la DeFi pilotés par l’IA sont pour l’instant exagérées — mais plus pour longtemps

Son portefeuille d’identité numérique prend également en charge la « divulgation sélective », afin que les utilisateurs ne révèlent que les informations nécessaires à une transaction donnée.

Alors, pourquoi cette technologie n’est-elle pas déployée plus largement pour les procédures financières de KYC ?

Selon McMullen, « la réglementation et la compréhension » sont les principaux obstacles à son adoption :

« Le principal obstacle est que les équipes de conformité confondent “nous avons vu la pièce d’identité” avec “nous devons conserver la pièce d’identité”. Elles recueillent donc trop d’informations par prudence. »

Elle ajoute que l’interopérabilité constitue un autre problème, car les preuves cryptographiques ne sont utiles que « si la partie qui s’y fie peut les vérifier sans rappeler celui qui les a émises ». Cela nécessite de mettre en place des normes communes, ce qui est plus facile à dire qu’à faire.

La ZK ne résout pas magiquement le KYC

Il existe une autre réserve importante : remplacer un document d’identité par une preuve à divulgation nulle de connaissance n’élimine pas automatiquement tous les problèmes de confidentialité ou de sécurité.

Fenigson souligne que l’élément auquel une attestation ZK reste liée est tout aussi important :

« Les incitations favorisent le contrôle, pas la confidentialité. Les preuves à divulgation nulle de connaissance permettent à quelqu’un de prouver un fait, comme avoir plus de 18 ans ou ne pas figurer sur une liste de sanctions [...] Ce qui manque, c’est l’élément auquel cette preuve est rattachée. Actuellement, elle est généralement rattachée à un compte dans la base de données de quelqu’un d’autre. »

Le portefeuille d’identité numérique de l’UE prend en charge la divulgation sélective. Source : Commission européenne

En définitive, tout dépend de la personne qui contrôle réellement l’identifiant. Si une personne génère une preuve qui protège la confidentialité, mais que cette preuve est liée à un compte dans la base de données de quelqu’un d’autre, elle reste dépendante d’un intermédiaire centralisé.

Les règles ne sont pas aussi tranchées qu’on pourrait le penser

Dans de nombreux cas, les règles n’exigent pas réellement le stockage des données d’identité — c’est davantage une convention, parce que c’est ainsi que les choses ont toujours été faites.

Les directives du Groupe d’action financière (GAFI) examinent explicitement comment les systèmes d’identité numérique peuvent être utilisés pour effectuer les contrôles de vigilance à l’égard de la clientèle, plutôt que d’exiger des institutions qu’elles s’appuient sur des documents d’identité physiques.

Les recommandations du GAFI constituent également un cadre fondé sur les risques, laissant à chaque pays le soin de mettre en œuvre les normes par l’intermédiaire de ses propres systèmes juridiques et réglementaires.

« Dans de nombreux régimes, la règle veut que vous vérifiiez l’identité et conserviez les éléments attestant de cette vérification, et non que vous gardiez indéfiniment l’image brute du document », explique McMullen.

Cela signifie qu’une attestation vérifiable cryptographiquement, accompagnée d’un enregistrement montrant que le contrôle pertinent a été effectué, pourrait suffire pour se conformer aux règles sans créer une autre copie permanente de la pièce d’identité.

Mais comme les directives sont « ambiguës », explique McMullen, les institutions se contentent de tout conserver, car leurs équipes chargées de la conformité savent que les auditeurs et les contrôleurs l’accepteront.

Autrement dit, même si les règles permettent techniquement une autre approche, personne ne veut être le premier à prendre ce risque, comme l’explique Ward :

« La réglementation repose instinctivement sur l’idée que plus d’informations signifient davantage de contrôle et donc plus de sécurité. »

Il est difficile d’imaginer que cela change tant que les règles ne seront pas modifiées pour autoriser explicitement les preuves à divulgation nulle de connaissance. Et même si aucun système n’est parfait, la technologie ZK évite au moins de devoir recueillir et conserver autant d’informations sensibles. Comme le dit McMullen :

« On ne peut pas perdre ce qu’on n’a jamais détenu. »

Magazine : 10 des plus grands mystères non résolus de la crypto