À peine dix jours après une première fuite de données, Revolut alerte de nouveau une partie de sa clientèle. Un nouvel incident de sécurité pourrait avoir exposé plusieurs de leurs informations personnelles.
Sale mois de septembre pour Revolut. Après avoir reconnu mi-septembre avoir transmis des informations personnelles à des escrocs qui se faisaient passer pour une administration italienne, la néobanque doit maintenant composer avec une nouvelle fuite de données survenue chez DriveWealth, un prestataire américain chargé d’une partie de ses activités de trading.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Des données dérobées chez un ancien partenaire
Dans le détail, DriveWealth a confirmé avoir détecté un accès non autorisé à son réseau entre les 4 et 5 septembre derniers. Selon le courtier américain, l’attaque aurait reposé sur une campagne d’ingénierie sociale ayant permis l’exfiltration de données personnelles conservées dans ses systèmes.
Pour les clients Revolut concernés, les informations susceptibles d’avoir été compromises comprennent les noms, adresses mail, numéros de téléphone et adresses postales, mais également des informations professionnelles ainsi que l’âge, le genre ou le pays de citoyenneté. Une partie du numéro de compte DriveWealth pourrait par ailleurs avoir été exposée.
Dans un mail envoyé à ses clients, Revolut a confirmé que ses propres systèmes n’avaient pas été touchés par l’incident. Les mots de passe, codes d’accès, numéros de carte bancaire et documents d’identité liés à ses services n’auraient pas été exposés. Les fonds et les investissements des clients ne seraient pas non plus menacés.
Des clients européens parmi les personnes concernées
Le fait que DriveWealth soit un courtier américain ne circonscrit pas l’incident aux États-Unis. Pendant plusieurs années, Revolut s’est en effet appuyé sur ses services pour exécuter et régler les opérations réalisées sur les actions américaines, y compris pour sa clientèle située dans l’Espace économique européen.
La situation a changé en décembre 2023, lorsque la néobanque a revu son modèle de trading dans l’EEE et cessé de transmettre les données personnelles de ses clients européens à DriveWealth. Le courtier conservait néanmoins les informations de personnes ayant utilisé le service avant cette transition, pour répondre à ses obligations légales et réglementaires. Ce sont ces données historiques qui ont pu être compromises.
Revolut indique que DriveWealth a contacté directement les clients concernés, avant de leur adresser à son tour un mail explicatif.
L’affaire survient moins de deux semaines après un premier incident sans lien avec celui-ci. Mi-septembre, Revolut avait reconnu avoir communiqué les pièces d’identité et les coordonnées d'un peu moins de 700 clients à des escrocs ayant envoyé de fausses demandes d’informations depuis le domaine de messagerie d’une administration existante. Les informations compromises pourraient notamment servir à mener des campagnes de phishing, des tentatives d’usurpation d’identité ou d’autres opérations d’ingénierie sociale plus crédibles.
