Revolut a confirmé le 12 septembre qu'un tiers non autorisé avait réussi à obtenir des données clients en se faisant passer pour une autorité gouvernementale.

L'attaquant utilisait une adresse appartenant à un véritable domaine d'agence publique. Les demandes envoyées depuis cette adresse paraissaient donc suffisamment crédibles pour passer le processus de traitement utilisé par Revolut pour les requêtes officielles.

L'entreprise décrit l'incident comme une opération sophistiquée d'usurpation externe.

Les données transmises vont bien au-delà d'une adresse e-mail

Les notifications reçues par des clients concernés dressent une liste particulièrement sensible.

Selon Revolut, les informations susceptibles d'avoir été communiquées comprennent les noms, dates de naissance, adresses postales, adresses e-mail et numéros de téléphone.

Des copies de documents d'identité, notamment passeports et permis de conduire, ainsi que des selfies utilisés pendant les procédures de vérification ont également pu être transmis.

S'y ajoutent des relevés de compte, des IBAN, des informations relatives aux retraits et des historiques de transactions.

Les historiques Bitcoin font partie du lot

Le volet crypto rend l'affaire encore plus sensible.

Une notification rendue publique par Mark Karpelès, ancien dirigeant de Mt. Gox qui affirme faire partie des clients concernés, mentionne explicitement la possibilité que l'historique complet des transactions Bitcoin ait été communiqué.

Cela peut fournir à un attaquant bien plus qu'une simple liste de montants.

Croisé avec une identité réelle, un historique de retraits et d'autres informations de compte, un historique Bitcoin peut faciliter l'association entre une personne et certaines activités onchain.

Revolut n'a pas été piraté au sens classique

C'est la nuance essentielle de l'incident.

Revolut affirme que ses systèmes n'ont pas été compromis et que les fonds de ses clients n'ont pas été affectés.

Il ne s'agit donc pas, selon les informations disponibles, d'un attaquant ayant forcé l'accès à l'infrastructure informatique de l'entreprise pour aspirer une base de données.

Les données auraient été remises à travers une procédure légitime destinée à coopérer avec les autorités, après que l'identité de l'expéditeur a été usurpée.

La différence technique est énorme. Pour la personne dont le passeport ou l'historique de compte a été transmis, le résultat peut néanmoins être très similaire à celui d'une fuite de données classique.

Un véritable domaine gouvernemental ne suffit plus comme preuve

Les institutions financières reçoivent régulièrement des demandes de tribunaux, d'autorités fiscales ou d'organismes chargés des enquêtes criminelles.

Revolut dispose d'ailleurs d'une adresse spécifiquement destinée aux ordonnances judiciaires et aux demandes officielles d'informations.

Le problème révélé par cet incident est que la provenance technique d'un e-mail n'établit pas nécessairement que son auteur est réellement habilité à demander les informations.

Si une boîte mail gouvernementale est compromise, détournée ou utilisée sans autorisation, les contrôles qui se contentent de vérifier le domaine peuvent devenir insuffisants.

Revolut refuse de dire combien de clients sont concernés

L'entreprise indique qu'un nombre limité de clients a été affecté et qu'ils ont été contactés directement.

Elle n'a toutefois pas communiqué de chiffre précis.

Revolut n'a pas non plus identifié publiquement l'agence gouvernementale dont le domaine a été utilisé ni précisé si les demandes frauduleuses concernaient un seul pays.

Ces inconnues empêchent pour l'instant de mesurer correctement l'ampleur réelle de l'incident.

L'hypothèse de clients fortunés reste une hypothèse

L'enquêteur onchain ZachXBT a estimé publiquement que les demandes semblaient avoir pu cibler des utilisateurs disposant d'importants patrimoines.

Cette interprétation est plausible au regard du type d'informations recherchées, mais elle n'a pas été confirmée par Revolut.

Il faut donc distinguer ce point de ce que l'entreprise reconnaît officiellement : de fausses demandes ont été envoyées depuis un véritable domaine gouvernemental et des données sensibles ont effectivement été transmises.

Revolut dit avoir bloqué l'adresse utilisée

Après avoir identifié le problème, Revolut affirme avoir bloqué l'adresse e-mail concernée et renforcé ses mesures de sécurité.

L'entreprise dit également avoir informé l'agence gouvernementale dont le domaine a été utilisé, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers concernés.

L'enquête doit maintenant déterminer comment cette adresse gouvernementale a pu être utilisée et si l'attaquant disposait d'un accès direct à une messagerie officielle ou d'un autre moyen suffisamment crédible pour imiter son fonctionnement.

Le problème dépasse Revolut

Les sociétés crypto et fintech accumulent des quantités de données particulièrement intéressantes pour un attaquant : identité complète, documents officiels, adresse physique, informations bancaires et historique financier.

Ces données sont nécessaires pour respecter les obligations de KYC et de lutte contre le blanchiment. Elles deviennent simultanément un dossier très complet sur chaque utilisateur.

Lorsqu'une plateforme combine ces informations avec des services crypto, une fuite peut également aider à relier des mouvements blockchain pseudonymes à une identité réelle.

Le maillon faible était ici la confiance

L'incident Revolut rappelle que la cybersécurité ne se résume pas à empêcher quelqu'un d'entrer dans un serveur.

Une procédure parfaitement autorisée peut devenir une vulnérabilité si la personne située de l'autre côté n'est pas réellement celle qu'elle prétend être.

Les contrôles techniques peuvent protéger une base de données. Ils ne remplacent pas une vérification indépendante de la légitimité d'une demande qui ordonne d'en extraire les informations.

Cette fois, l'attaquant n'a pas eu à voler les données. Il a convaincu leur gardien de les lui envoyer.