Revolut a partagé des données clients avec des acteurs malveillants via un domaine gouvernemental

Revolut a transmis des données clients à une personne malveillante qui s’est fait passer pour un organisme public. L’attaquant a utilisé pour cela une adresse e-mail sur un véritable domaine gouvernemental, qui a satisfait à tous les contrôles d’authentification standard. Les clients concernés ont été informés vendredi dernier. Les informations divulguées comprennent notamment des copies de passeports, des selfies de vérification et l’historique complet des transactions en Bitcoin des utilisateurs concernés.

En bref :

• Revolut a transmis des données clients à une personne malveillante qui envoyait des e-mails via un domaine gouvernemental légitime.
• Les données divulguées comprennent des documents d’identité, des coordonnées, des relevés de compte et des historiques de transactions, y compris des transactions en Bitcoin.
• Revolut a bloqué l’adresse e-mail concernée et informé les autorités de contrôle.

L’attaquant a utilisé un véritable domaine gouvernemental

L’attaquant a envoyé une demande d’informations d’apparence officielle via une adresse e-mail créée sur le domaine d’un organisme public. Comme l’e-mail a satisfait à tous les contrôles d’authentification du domaine, Revolut a traité la demande comme légitime et a transmis les données demandées.

Ce n’est que plus tard que l’entreprise a conclu que la demande n’était pas authentique. Revolut a alerté l’organisme concerné au sujet de l’adresse e-mail non autorisée sur son domaine, puis a bloqué cette adresse. Les autorités de contrôle ont également été informées. Revolut n’a pas expliqué comment l’attaquant a pu accéder à une boîte mail sur ce domaine gouvernemental.

Ce qui a été précisément divulgué

Selon la notification reçue par les clients concernés, les données suivantes ont pu être divulguées : nom complet, date de naissance et profession, mais aussi adresse du domicile, adresse e-mail et numéro de téléphone. Il s’agit en outre de copies de documents d’identité tels qu’un passeport ou un permis de conduire, ainsi que du selfie soumis lors de la vérification. Selon Revolut, les données biométriques du visage ne sont pas concernées par l’incident.

Des informations financières ont également été partagées, notamment des relevés de compte avec l’IBAN et la date d’ouverture du compte, des tentatives de retrait et l’historique complet des transactions, y compris les transactions en Bitcoin. Revolut n’a précisé ni le nombre de clients touchés ni le nom de l’organisme public impliqué.

L’incident semble viser des utilisateurs fortunés

Le chercheur ZachXBT, qui a partagé les notifications envoyées aux clients, estime que l’incident est limité en ampleur et visait des utilisateurs fortunés. Il s’agirait donc probablement d’une attaque ciblée et non d’une fuite de données de grande ampleur ayant touché au hasard un grand nombre de clients.

Pour les clients qui gèrent aussi du Bitcoin via Revolut, la situation est particulièrement sensible. Un historique complet des transactions offre à un attaquant un aperçu détaillé des habitudes de dépenses et du patrimoine potentiel d’un utilisateur. Dans une période où le Bitcoin se négocie autour de 77 000 $, ces informations peuvent être particulièrement précieuses pour des personnes malveillantes.