C’est une notification envoyée vendredi 11 septembre à un nombre restreint de clients qui a mis le feu aux poudres, avant d’être relayée sur Telegram par le chercheur en cybersécurité ZachXBT.
Le lendemain, la néobanque britannique a confirmé les faits auprès de TechCrunch : un tiers non autorisé a réussi à se faire passer pour une agence gouvernementale légitime afin d’obtenir des informations sur certains comptes.
Revolut, qui revendique plus de 80 millions d’utilisateurs répartis dans une trentaine de pays, évoquait un nombre « limité » de clients concernés, sans avancer de chiffre précis, ni préciser le pays ni le nom de l’agence usurpée.
Mais depuis le dimanche 13 septembre, l’affaire a pris une nouvelle tournure : ceux qui détiendraient les dossiers ont commencé à publier des supposés échantillons sur Telegram. Le piratage vire au chantage. Les hackers assurent qu’ils continueront à publier chaque jour de nouveaux dossiers tant que Revolut ne paiera pas une rançon, dont le montant n’a pas été rendu public.
Pas de piratage technique, mais une usurpation par mail
Pour rappel, contrairement à ce que l’on pourrait imaginer, cette fuite ne repose sur aucune faille informatique ni malware sophistiqué. L’auteur des faits a simplement envoyé sa demande depuis une adresse mail hébergée sur le vrai domaine de l’agence gouvernementale visée, ce qui lui a permis de passer les vérifications d’authenticité habituelles.
Revolut, comme n’importe quelle banque soumise à des réquisitions régulières de la police ou de la justice, a traité la demande comme légitime et y a répondu en conséquence, avant de découvrir la supercherie en recontactant l’agence de son côté, mais après coup, une fois les documents déjà transmis. Une véritable erreur.
Des zones d’ombre qui persistent
Selon ZachXBT, les personnes visées seraient surtout des clients disposant d’avoirs conséquents, une piste que Revolut n’a pas confirmée officiellement.
Le premier dossier rendu public concernerait un entrepreneur crypto : les attaquants auraient diffusé ce qu’ils présentent comme son dossier de vérification d’identité complet, avec un document allemand visible sur les captures. D’autres clients avaient déjà fait savoir publiquement avoir reçu la notification officielle de Revolut, parmi lesquels l’ancien patron de Mt. Gox Mark Karpelès, qui a détaillé le contenu exact du dossier envoyé par erreur : nom, date de naissance, métier, adresse, téléphone, pièce d’identité, selfie, relevés bancaires, IBAN, date d’ouverture de compte, référence de wallet, retraits et historique complet des transactions, bitcoin compris.
De son côté, Revolut n’a pour l’instant communiqué ni sur le nombre exact de clients touchés, ni sur la date d’envoi des données.
L’entreprise recommande aux personnes notifiées de surveiller leurs comptes, de se méfier de tout contact se réclamant de la banque, et d’envisager le renouvellement de leurs papiers d’identité.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !