L’enquêteur on-chain ZachXBT a révélé plus tôt dans la journée que Revolut avait divulgué des informations personnelles et financières hautement sensibles appartenant à certains clients après avoir reçu ce qui semblait être une demande officielle authentique.
L’entreprise a envoyé des courriels aux utilisateurs concernés, reconnaissant que les données exposées comprenaient des passeports, des selfies de vérification, des adresses et l’historique complet des transactions en bitcoins.
Les données exposées
Dans le courriel envoyé aux clients et publié par ZachXBT sur sa page Telegram, Revolut a expliqué avoir reçu une demande d’informations qui semblait provenir d’un organisme gouvernemental légitime. L’expéditeur ne s’était pas contenté d’usurper une adresse qui paraissait officielle. La demande provenait d’un compte de messagerie non autorisé utilisant le véritable nom de domaine de l’organisme gouvernemental et disposant d’identifiants d’authentification de domaine valides, a ajouté l’entreprise.
Revolut a donné suite à la demande, convaincue qu’elle était légitime. Les informations divulguées pouvaient inclure les noms complets, dates de naissance, professions, adresses personnelles, adresses e-mail et numéros de téléphone de certains clients. Les données plus sensibles comprenaient des copies de passeports et/ou de permis de conduire, ainsi que les selfies fournis par les clients lors du processus de vérification. Selon l’entreprise, la bonne nouvelle est que les données biométriques de télémétrie faciale elles-mêmes n’ont pas été compromises.
Cependant, l’entreprise a déclaré avoir fourni des informations financières, notamment des relevés de compte contenant des IBAN, les dates d’ouverture des comptes et les numéros de référence des portefeuilles, ainsi que des relevés de retraits et l’historique complet des transactions, y compris celles en BTC.
Jusqu’à présent, Revolut n’a pas publiquement nommé l’organisme gouvernemental concerné, et l’avis envoyé aux clients ne précise pas si des mots de passe, des clés privées ou leurs fonds ont été consultés.
S’en prendre aux riches ?
L’enquêteur spécialisé dans la blockchain a décrit l’incident comme « probablement limité en ampleur », car il semblait que les auteurs s’étaient concentrés uniquement sur les clients fortunés. Toutefois, cela n’a été confirmé ni de manière indépendante ni par Revolut elle-même. En outre, l’entreprise n’a pas révélé le nombre exact de clients concernés.
Au vu des informations disponibles au moment de la publication, l’incident semble relever d’une divulgation non autorisée plutôt que d’une compromission directe de l’infrastructure de Revolut. L’entreprise indique elle-même aux organismes gouvernementaux et aux forces de l’ordre de soumettre leurs demandes officielles d’informations par l’intermédiaire d’un canal dédié.
Source : CryptoPotato
