Fuite de données Revolut : faits établis, demande de rançon et zones d’ombre

Revolut a confirmé avoir communiqué des informations sensibles concernant des clients à un tiers non autorisé, après avoir reçu de fausses demandes envoyées depuis le domaine de messagerie d’un organisme gouvernemental pourtant légitime. L’entreprise décrit l’affaire comme une escroquerie externe par usurpation d’identité et ingénierie sociale, et non comme une intrusion avérée dans ses systèmes centraux. 12

L’affaire s’accompagne d’une revendication publique de rançon par un groupe utilisant le nom « iamnotavillain ». Un élément essentiel appelle toutefois à la prudence : Revolut a déclaré à Reuters n’avoir reçu ni contact direct ni demande de rançon de la part des personnes ou du groupe qui prétendent être responsables. 2

Ce que Revolut a confirmé

Selon la déclaration de Revolut rapportée par Reuters, des fraudeurs ont utilisé un domaine e-mail appartenant à un organisme gouvernemental légitime afin d’envoyer des demandes trompeuses d’informations sur des clients. Revolut a transmis des données sensibles à un tiers non autorisé avant de détecter la fraude. 1

La société indique avoir averti les clients concernés et avait d’abord qualifié leur nombre de « très limité ». Reuters a ensuite rapporté qu’environ 680 clients seraient concernés, un chiffre que Revolut n’avait pas communiqué dans sa première déclaration publique. 12

D’après les notifications adressées aux personnes concernées, les données exposées pourraient comprendre des éléments d’identité et de contact, notamment les dates de naissance, adresses, numéros de téléphone et copies de pièces d’identité. TechCrunch indique que des selfies de vérification, relevés de compte et autres informations liées aux comptes pourraient également être concernés. 5

Les systèmes de Revolut ont-ils été piratés ?

D’après la version de Revolut et les informations d’une source au fait du dossier, l’infrastructure centrale, les bases de données et les comptes clients de Revolut n’ont pas été piratés. L’entreprise a également affirmé que ses systèmes et les fonds des clients n’avaient pas été affectés. 12

Cette distinction est importante : l’incident confirmé correspond à une divulgation de données obtenue par tromperie, et non à une intrusion technique établie dans les systèmes de comptes ou les bases de données de Revolut. Les informations publiques ne permettent pas de confirmer indépendamment tous les détails techniques de l’affaire ; son ampleur ne doit donc pas être exagérée. 12

La demande de 3 millions de dollars

Selon Reuters, qui cite le Financial Times, les auteurs présumés ont menacé de vendre les dossiers confidentiels de centaines de clients Revolut à d’autres groupes criminels si l’entreprise ne versait pas une rançon de 3 millions de dollars dans les 24 heures. 2

D’autres publications font état d’une exigence de 6 000 Monero (XMR), valorisés à environ 3 millions de dollars au moment des faits, et attribuent l’ultimatum au groupe « iamnotavillain ». Celui-ci aurait publié son exigence en ligne avec un compte à rebours, tout en affirmant qu’aucune négociation n’avait eu lieu. 46

Ces éléments relèvent des déclarations des auteurs présumés, ou de ce qui leur est attribué. Ils ne prouvent ni que l’identité du groupe est authentique, ni qu’il détient l’ensemble des dossiers qu’il affirme posséder, ni qu’il serait en mesure de les vendre comme il le menace. Le fait que Revolut dise n’avoir reçu aucune demande directe renforce encore l’incertitude autour de cet ultimatum public. 26

Ce qui est établi, et ce qui ne l’est pas

Éléments étayés par la déclaration de Revolut et les principaux médias

• Des demandes frauduleuses provenant d’un domaine e-mail gouvernemental légitime ont conduit à la communication non autorisée de données clients sensibles. 1
• Revolut affirme que ses systèmes et les fonds de ses clients n’ont pas été affectés. 1
• Reuters rapporte que Revolut n’a reçu aucun contact direct ni demande de rançon de la part des auteurs présumés. 2
• Les informations publiées situent le nombre de clients concernés autour de 680. 24

Éléments non vérifiés ou reposant sur les affirmations des auteurs présumés

• Le fait que « iamnotavillain » soit bien la personne ou le groupe à l’origine de la divulgation. 26
• Le fait que ce groupe possède l’intégralité des dossiers qu’il prétend détenir. 26
• Toute vente, diffusion ou exploitation des données par d’autres groupes criminels. 2
• La chaîne technique et opérationnelle complète ayant permis aux fausses demandes de paraître crédibles. 12

À retenir

Les éléments disponibles étayent une conclusion précise, mais grave : Revolut a communiqué des données sensibles de clients après avoir été trompé par des demandes frauduleuses semblant provenir d’un domaine e-mail gouvernemental légitime. L’entreprise conteste que son infrastructure centrale ou les comptes de ses clients aient été compromis. 12

La demande de 3 millions de dollars en Monero, l’échéance de 24 heures, le compte à rebours et l’attribution au nom « iamnotavillain » ont été rapportés publiquement, mais restent des allégations liées aux auteurs présumés. Faute de corroboration indépendante, il convient de les distinguer de la divulgation de données que Revolut a, elle, confirmée. 26