Revolut a confirmé que des fraudeurs avaient piégé la plateforme pour lui faire remettre des données clients, notamment des informations qui, selon ses propres avis, comprenaient des passeports, des selfies de vérification et l’historique des transactions en bitcoins.
La demande provenait du domaine de messagerie d’une véritable agence gouvernementale et était accompagnée d’identifiants valides. Revolut l’a crue authentique et a transmis les données.
Ce que Revolut affirme qu’il s’est passé
Un porte-parole de Revolut a déclaré à BeInCrypto que la banque avait bloqué l’expéditeur dès qu’elle avait repéré le problème.
« Revolut a récemment détecté une attaque sophistiquée d’usurpation d’identité externe, au cours de laquelle un tiers non autorisé a utilisé l’adresse e-mail d’un domaine légitime appartenant à une agence gouvernementale pour soumettre des demandes frauduleuses d’informations… Les systèmes de Revolut et les fonds des clients ne sont pas affectés. »
L’entreprise affirme avoir alerté l’agence, la police ainsi que ses autorités de protection des données et ses régulateurs financiers. Elle a contacté ce qu’elle décrit comme le nombre limité de personnes concernées.
Les comptes Revolut sont-ils sécurisés ?
Revolut affirme que les comptes restent sécurisés. C’est vrai. Les codes d’accès, les identifiants de connexion et les données biométriques n’ont jamais été exposés, a indiqué la banque à BeInCrypto. Aucun argent n’a été transféré.
Les avis envoyés aux clients présentent les choses autrement. Ils indiquent que le selfie de vérification a été transmis et excluent uniquement les données biométriques faciales de télémétrie, c’est-à-dire le modèle facial qu’un système crée à partir d’une photo. La photo elle-même, c’est autre chose.
Ces avis dressent la liste des autres données concernées : passeports, permis de conduire, adresses domiciliaires, relevés bancaires. Un historique complet des entrées et sorties de bitcoins.
Revolut ne dira pas quel domaine d’agence a été utilisé, invoquant l’enquête policière en cours. Personne en dehors de l’entreprise ne sait donc si une boîte mail gouvernementale a été piratée, ou si quelqu’un qui y avait déjà accès a cliqué sur « Envoyer ».
L’enquêteur spécialisé dans la blockchain ZachXBT, qui traque les cryptomonnaies volées dans le cadre de son travail, a signalé la fuite, soulignant qu’elle avait touché un petit groupe d’utilisateurs et semblait viser les plus fortunés.
Après des fuites de données, des listes de clients volées ont alimenté les risques d’hameçonnage. Des adresses personnelles divulguées ont précédé des attaques violentes contre des détenteurs de cryptomonnaies.
Revolut a qualifié l’incident d’attaque sophistiquée. Pourtant, selon ses propres déclarations, l’attaquant a utilisé le système de messagerie officiel d’un gouvernement pour envoyer une demande frauduleuse. Revolut a accepté cette demande comme authentique et a transmis les données.
Source : BeInCrypto
