Revolut a confirmé que des informations sensibles de clients ont été transmises à des parties non autorisées après que des escrocs ont soumis des demandes frauduleuses via un compte email hébergé sur un domaine légitime d’une agence gouvernementale.
La société de technologie financière a qualifié l’incident de « fraude sophistiquée d’usurpation d’identité externe ». Les attaquants n’avaient pas besoin de pirater les systèmes de Revolut. Ils ont plutôt envoyé des demandes d’informations clients qui semblaient provenir d’une autorité gouvernementale.
Comme les demandes provenaient d’un compte email dans le domaine légitime de l’agence, Revolut les considérait initialement comme des informations authentiques et divulguées associées à un nombre limité de clients.
Les informations exposées comprenaient des noms, des dates de naissance, des professions, des adresses postales et e-mail, des numéros de téléphone et des copies de documents d’identité tels que passeports et permis de conduire.
Des informations supplémentaires ont également pu être divulguées. Les notifications envoyées aux clients concernés indiquent que des selfies de vérification, des relevés de compte, des IBAN, des enregistrements de retraits et des historiques complets des transactions auraient pu être inclus. Pour certains clients, ces historiques contenaient également des transactions en Bitcoin.
Revolut n’a pas divulgué exactement combien de clients ont été touchés. L’entreprise a décrit ce nombre comme limité et a indiqué que ces personnes avaient été contactées directement.
L’identité de l’agence gouvernementale dont le domaine de courriel a été utilisé n’a pas non plus été rendue publique. Il reste flou comment la partie non autorisée a obtenu un compte email dans le domaine de l’agence.
Après avoir découvert le problème, Revolut a indiqué avoir bloqué l’adresse e-mail concernée et alerté l’agence gouvernementale concernée. Les forces de l’ordre, les autorités de protection des données et les régulateurs financiers ont également été informés.
L’entreprise a indiqué que ses propres systèmes n’avaient pas été compromis lors de l’incident et que les fonds clients n’avaient pas été affectés. Les informations disponibles indiquent donc une divulgation non autorisée via des demandes frauduleuses plutôt que des attaquants ayant obtenu un accès direct à l’infrastructure bancaire de Revolut.
L’incident est distinct d’une affirmation de juillet dans laquelle quelqu’un a proposé ce qu’ils ont décrit comme 75 millions de dossiers clients Revolut à la vente. Revolut a déclaré à l’époque qu’elle n’avait trouvé aucune preuve que ses systèmes avaient été compromis en lien avec ce jeu de données.
Dans le dernier cas, cependant, Revolut a confirmé que les informations des clients avaient été divulguées à un tiers non autorisé. L’entreprise n’a pas identifié publiquement l’agence gouvernementale concernée ni fourni de chiffre exact sur le nombre de clients dont les informations ont été communiquées.