Revolut a confirmé à BeInCrypto que quelqu’un l’avait bel et bien dupée pour qu’elle remette des dossiers clients qui, selon ses propres avis, contenaient des passeports, des selfies et des relevés liés au Bitcoin. L’entreprise qualifie l’attaque de sophistiquée. Ce qu’elle décrit, c’est un e-mail.
Le message provenait du domaine de messagerie d’une véritable agence gouvernementale. Il était accompagné d’identifiants de domaine authentiques. Revolut l’a accepté comme étant authentique et a envoyé les fichiers.
Ce que Revolut affirme qu’il s’est passé
Un porte-parole de Revolut a déclaré à BeInCrypto que la banque avait bloqué l’expéditeur dès qu’elle avait repéré le problème.
« Revolut a récemment détecté une attaque sophistiquée d’usurpation d’identité externe, au cours de laquelle un tiers non autorisé a utilisé l’adresse e-mail d’un domaine légitime appartenant à une agence gouvernementale pour soumettre des demandes frauduleuses d’informations… Les systèmes de Revolut et les fonds des clients ne sont pas affectés. »
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent
L’entreprise affirme avoir alerté l’agence, la police ainsi que ses autorités de protection des données et ses régulateurs financiers. Elle a contacté ce qu’elle décrit comme le nombre limité de personnes concernées.
Ce que le communiqué omet
Revolut affirme que les comptes restent sécurisés. C’est vrai, mais ce n’est pas le problème.
Les codes d’accès, les identifiants de connexion et les données biométriques n’ont jamais été exposés, a indiqué la banque à BeInCrypto. Aucun argent n’a été transféré.
Les avis envoyés aux clients présentent les choses autrement. Ils indiquent que le selfie de vérification a été transmis et excluent uniquement les données biométriques faciales de télémétrie, c’est-à-dire le modèle facial qu’un système crée à partir d’une photo. La photo elle-même, c’est autre chose.
Ces avis énumèrent le reste : passeports, permis de conduire, adresses personnelles, relevés bancaires. Un historique complet des entrées et sorties de bitcoins.
Il faut une minute pour changer un mot de passe. Pas un passeport.
Revolut ne dira pas quel domaine d’agence a été utilisé, invoquant l’enquête policière en cours. Personne en dehors de l’entreprise ne sait donc si une boîte mail gouvernementale a été piratée, ou si quelqu’un qui y avait déjà accès a cliqué sur « Envoyer ».
L’enquêteur spécialisé dans la blockchain ZachXBT, qui traque les cryptomonnaies volées dans le cadre de son travail, a signalé la fuite, soulignant qu’elle avait touché un petit groupe d’utilisateurs et semblait viser les plus fortunés.
Après des fuites de données, des listes de clients volées ont alimenté les risques d’hameçonnage. Des adresses personnelles divulguées ont précédé des attaques violentes contre des détenteurs de cryptomonnaies.
On peut aussi interpréter autrement le mot « sophistiqué ». Selon Revolut, l’attaquant a rédigé un e-mail et attendu. L’astuce s’est jouée au sein d’un système de messagerie gouvernemental. Le préjudice, lui, s’est produit chez Revolut.
Source : BeInCrypto
