Revolut aurait transmis des données sensibles de plusieurs clients, en réponse à de fausses demandes gouvernementales. Dans le lot, on retrouverait des passeports, selfies et relevés bancaires, comme le révèle un lanceur d'alerte samedi.
C'est une nouvelle alerte sur la sécurité des données bancaires, elle concerne cette fois Revolut, et elle est potentiellement très alarmante. La banque en ligne britannique aux 80 millions de clients, dont 8 millions en France, aurait transmis des informations sensibles de clients après avoir été piégée par une usurpation d'identité administrative perfide. Comme le révèle FrenchBreaches ce samedi 12 septembre, l'histoire aurait démarré par de véritables e-mails, expédiés depuis un authentique domaine administratif, qui aurait permis aux individus malveillants de contourner sans mal les filtres de sécurité habituels. La néobanque aurait alors cru avoir affaire à une requête légitime gouvernementale, avant de découvrir la supercherie. Reste que plusieurs clients, dont certains très fortunés, auraient déjà vu leurs informations personnelles et financières transmises à cet acteur toujours non identifié.
Revolut piégée par une usurpation d'identité administrative redoutablement bien montée
Qu'on se le dise, il ne s'agirait pas d'un piratage classique des serveurs de Revolut. Personne n'aurait forcé une quelconque porte numérique pour s'y introduire. L'acteur malveillant aurait simplement réussi à mettre la main sur une boîte mail appartenant réellement au domaine officiel d'une administration, c'est-à-dire la partie de l'adresse qui suit le fameux « @ » et qui sert normalement de carte d'identité numérique. Du coup, les vérifications automatiques que Revolut effectue habituellement pour s'assurer qu'un e-mail vient bien de qui il prétend n'ont rien détecté d'anormal, puisque l'adresse était authentique. Les demandes sont donc passées pour parfaitement légitimes, et Revolut les aurait traitées comme telles.
Les informations potentiellement communiquées à cet interlocuteur ne se limiteraient pas à de simples coordonnées. Selon les notifications envoyées aux clients concernés, on y retrouverait les nom, prénom, date de naissance et profession, numéro de téléphone, e-mail, adresse postale, copie de passeport ou de permis de conduire, IBAN, selfie de vérification d'identité, relevés de compte, historique des retraits et historique complet des transactions, Bitcoin inclus. Toutes ces catégories ne concerneraient pas systématiquement chaque personne touchée, et les données réellement transmises peuvent varier d'un client à l'autre, selon la demande reçue.
Une fois le pot aux roses découvert, Revolut aurait réagi en bloquant l'adresse incriminée et en alertant à la fois l'administration usurpée, et les régulateurs compétents. Les clients concernés auraient, eux, commencé à recevoir une notification personnelle dès vendredi, sans qu'un chiffre global ait filtré sur l'ampleur réelle de l'incident.
Une opération ciblée mais encore auréolée de certaines zones d'ombre
D'après ZachXBT, un chercheur reconnu dans le milieu des cryptomonnaies pour traquer des arnaques et vols numériques, l'opération ne serait pas tombée au hasard sur ses victimes. En recoupant plusieurs témoignages d'utilisateurs touchés, il estime que les pirates auraient volontairement visé des clients disposant d'un patrimoine conséquent, plutôt que de cibler des comptes au petit bonheur la chance. Cette hypothèse donnerait un vrai mobile financier à l'opération, pour le moment ni confirmée ni infirmée publiquement par Revolut, que Clubic a essayé de contacter ce midi.
Un tel cocktail de données représente évidemment un risque pour les clients concernés. On sait qu'une pièce d'identité couplée à un selfie, un numéro de téléphone, une adresse et des informations bancaires constitue une base solide pour mener des tentatives de phishing très convaincantes, voire des usurpations d'identité complètes. Quant à l'historique détaillé des transactions, il pourrait, lui, en dire long sur les habitudes financières d'une victime, ce qui inquiète d'autant plus. Mieux vaut donc se méfier des e-mails, SMS ou appels inhabituels, même lorsqu'ils s'appuient sur de vraies informations personnelles ou bancaires pour gagner la confiance de leur cible.
Plusieurs questions restent en suspens. On peut se demander quelle administration a été usurpée, comment l'acteur malveillant a mis la main sur une adresse officielle, et combien de comptes sont réellement concernés. À l'heure de la publication, aucune réponse ne nous est parvenue. Nous mettrons cet article à jour si l'entreprise venait à réagir.
