L’infrastructure de paiement de Revolut prise pour cible aux États-Unis

Selon une enquête du Financial Times, l’application bancaire britannique Revolut a été mise en défaut aux États-Unis, un marché sur lequel elle a fait son entrée au printemps 2020. À compter de la fin 2021 et pendant plusieurs mois, des criminels ont exploité une faille dans la chaîne de traitement des paiements, dérobant au total quelque 23 millions de dollars. Le mécanisme était le suivant : une transaction déclinée pour un dépassement de plafond générait un remboursement à tort de la part de la fintech sur sa trésorerie propre. Les fonds étaient ensuite retirés en espèces à un distributeur. Revolut a pris connaissance du problème lorsque Metropolitan Commercial Bank, sa banque partenaire aux États-Unis, l’a informée d’une fonte de ses liquidités. La filiale a été contrainte de réclamer à sa maison mère une injection de plusieurs millions de dollars. Quant à la faille, elle a été corrigée au printemps 2022.

À noter : Si les détails techniques restent encore à éclaircir, des différences entre les systèmes de paiement aux États-Unis et en Europe auraient été exploitées. Le système à double message, utilisé en Europe, prévoit des messages distincts pour les étapes d’autorisation et de compensation (présentation). En revanche, le système à message unique, adopté aux États-Unis, combine les étapes d’autorisation et de compensation d’une opération de paiement en un seul message. Une automatisation combinée à une configuration défaillante peuvent alors aboutir à un accident industriel.