Revolut : comment de fausses demandes officielles ont conduit à l’exposition de données clients

Revolut a indiqué qu’un tiers non autorisé avait obtenu des informations sensibles sur des clients après que l’entreprise a répondu à de fausses demandes envoyées depuis une adresse appartenant au domaine d’une administration légitime. L’incident, confirmé le 12 septembre, est notable car les auteurs n’auraient pas eu besoin de pénétrer les systèmes centraux de Revolut : ils ont exploité la confiance accordée à un canal de communication à l’apparence officielle. Revolut assure avoir contacté les clients concernés et précise que ses systèmes comme les fonds des clients n’ont pas été affectés. 134

Ce que Revolut a confirmé

Revolut a confirmé que des demandes frauduleuses d’informations, expédiées depuis une adresse relevant du domaine d’une administration publique réelle, ont conduit à la transmission de données de clients à un tiers non autorisé. L’entreprise parle d’une « arnaque sophistiquée d’usurpation externe », affirme avoir bloqué l’adresse après sa détection et avoir alerté les autorités compétentes. 13448

La nuance est essentielle : les informations disponibles ne permettent pas d’établir que les auteurs ont compromis l’infrastructure bancaire centrale de Revolut ni qu’ils ont accédé aux fonds des clients. Elles établissent en revanche qu’un processus de traitement de demandes externes sensibles a été trompé. 134

Une adresse crédible, mais une demande frauduleuse

L’élément confirmé est précis, mais lourd de conséquences : les demandes provenaient d’une véritable adresse de domaine gouvernemental. Un domaine techniquement authentique peut faire paraître une requête frauduleuse ordinaire, en particulier lorsque des équipes doivent traiter rapidement des demandes judiciaires ou émanant des forces de l’ordre. 135

Des publications ultérieures ont associé l’expéditeur à l’infrastructure italienne de courrier électronique certifié PEC et au domaine pec.interno.it du ministère italien de l’Intérieur. Cette attribution n’a toutefois pas été confirmée de façon indépendante par Revolut ou les autorités italiennes dans les éléments disponibles. Il faut donc la considérer comme une piste rapportée, non comme une description établie de l’attaque. 37

La leçon dépasse ce cas : l’authenticité apparente d’un domaine e-mail ne suffit pas à prouver qu’une demande de données très sensibles est légitime. Elle devrait être vérifiée par un canal de contact connu de l’organisme concerné, puis soumise à des contrôles d’escalade avant toute transmission de dossiers.

Combien de clients sont concernés ?

Revolut a d’abord évoqué un nombre « très limité » de clients touchés, sans publier de chiffre. 1

Des informations ultérieures font état d’environ 680 clients dans le monde, dont 12 en Irlande. Revolut n’avait pas confirmé publiquement ce total dans sa première déclaration : il doit donc être présenté comme un chiffre rapporté, et non comme un décompte directement annoncé par l’entreprise. 33

Des médias ont également relayé l’affirmation des auteurs présumés selon laquelle l’opération aurait reposé sur un accès à des systèmes italiens chargés de l’application de la loi pendant environ six mois. Il s’agit d’une déclaration non vérifiée de l’acteur malveillant présumé, et non d’une conclusion confirmée par Revolut ou les autorités. 3637

Quelles données ont pu être exposées ?

Selon des notifications destinées aux clients consultées par TechCrunch, les informations transmises comprenaient des données d’identité et de contact : dates de naissance, adresses postales et e-mail, numéros de téléphone, ainsi que des copies de passeports ou de permis de conduire. Elles pouvaient aussi inclure des selfies de vérification, des relevés de compte et des historiques de transactions. 35

D’autres publications ont évoqué des IBAN, des relevés de retraits et de l’activité transactionnelle en bitcoin parmi les données obtenues. 510

Cet ensemble est particulièrement sensible : les documents d’identité peuvent alimenter l’usurpation d’identité et la fraude à la récupération de comptes ; les coordonnées et données financières rendent quant à elles les tentatives d’hameçonnage beaucoup plus crédibles.

Pourquoi les données liées au bitcoin aggravent le risque

Associer un nom, une adresse, une pièce d’identité et un selfie de vérification à une activité financière peut permettre de relier une personne réelle à des transactions visibles sur une blockchain publique, lorsque l’historique bitcoin est aussi concerné. 1035

Cela ne signifie pas que chaque portefeuille ou chaque transaction future devient automatiquement attribuable. Mais cette combinaison peut accroître le risque de phishing ciblé, de fraude à l’identité, de tentatives de coercition et d’escroqueries visant des personnes présumées détenir des cryptoactifs. À la différence d’un mot de passe, une pièce d’identité et l’historique passé d’une blockchain ne se remplacent pas après une fuite.

Publications de données et rançon alléguée

Les auteurs auraient commencé à publier des informations de clients tout en menaçant de nouvelles divulgations. Des articles ont identifié des fichiers attribués au joueur de tennis Alexander Shevchenko et à Felix Römer, directeur général de Gamdom ; Cointelegraph a rapporté que ce dernier s’était exprimé après l’apparition de ses données dans la fuite. 2

Une demande présumée de 10 000 BTC, évaluée à environ 780 millions de dollars au moment des publications, a circulé sur les réseaux sociaux et dans des articles secondaires. Revolut ne l’a pas confirmée, pas plus que les autorités dans les éléments cités. Il convient donc de la traiter comme une allégation d’extorsion non vérifiée, et non comme l’existence avérée de négociations sur une rançon. 1213

Que faire si vous avez reçu une notification ?

Les clients ayant reçu un message de Revolut devraient le conserver et suivre les consignes officielles de l’application ou du site de l’entreprise. Une prudence renforcée s’impose face aux messages mentionnant des informations personnelles exactes, se présentant comme émis par Revolut ou un régulateur, ou créant un sentiment d’urgence autour de la sécurité d’un compte.

Mesures utiles :

• changer les mots de passe Revolut et e-mail s’ils sont réutilisés ailleurs, puis activer le niveau d’authentification multifacteur le plus robuste disponible ;
• considérer tout appel, SMS ou e-mail non sollicité comme suspect, même s’il contient des informations exactes ;
• ne jamais communiquer de code à usage unique, de code de récupération ou de phrase de récupération à un interlocuteur ;
• surveiller les comptes bancaires, cartes et plateformes d’échange de cryptoactifs, et conserver une trace des contacts suspects ;
• si des pièces d’identité ont été divulguées, anticiper le risque durable de fraude à l’identité, au lieu de supposer que le danger disparaît avec le remplacement d’une carte.

Au Royaume-Uni, l’Information Commissioner’s Office (ICO), l’autorité britannique de protection des données, recommande d’abord de contacter l’organisation concernée lorsqu’on estime qu’elle n’a pas protégé les informations de manière adéquate ; l’organisme propose également des canaux d’assistance au public. 23

La leçon pour les établissements financiers

L’affaire montre que les demandes émanant prétendument d’une administration ou des forces de l’ordre exigent des garanties allant au-delà du contrôle du domaine de l’expéditeur. Parmi les protections pertinentes figurent une vérification indépendante par rappel via les coordonnées officielles de l’organisme, une double validation des divulgations les plus sensibles, la minimisation des données transmises, une traçabilité complète des demandes et des procédures explicites pour détecter l’ingénierie sociale fondée sur l’autorité.

Pour les clients, le message est tout aussi simple : une adresse e-mail à l’apparence officielle est un élément à vérifier, pas une preuve à croire aveuglément. Lorsqu’une fuite combine documents d’identité et historique financier, les fraudes qui suivent peuvent être plus dommageables que la divulgation initiale.

Ce qui reste inconnu

Les éléments disponibles confirment que Revolut a transmis des données de clients après des demandes frauduleuses provenant d’un domaine gouvernemental légitime, et que les systèmes centraux ainsi que les fonds des clients n’ont pas été affectés, selon l’entreprise. 1

Des points importants restent non résolus dans les sources fournies : le rôle précis de l’infrastructure PEC, la chronologie alléguée de six mois, le nombre total de clients touchés, l’accès revendiqué par les auteurs à des systèmes italiens et l’état d’éventuelles mesures des régulateurs britanniques. Ces affirmations ne doivent pas être présentées comme des faits établis sans confirmation officielle. 133637