La cyberattaque qui a conduit Revolut à remettre des informations sensibles sur les clients à des escrocs pourrait avoir été plus large et de plus longue durée que ce que l’on pensait initialement, selon de nouvelles affirmations du pirate derrière l’opération.
L’assaillant, sous le nom « IAmNotAVillain », affirme avoir maintenu l’accès à plusieurs services de police italiens pendant environ six mois. Durant cette période, le hacker aurait utilisé des systèmes gouvernementaux compromis pour envoyer des demandes d’informations privées à Revolut.
Ces affirmations n’ont pas été vérifiées de manière indépendante, et les autorités italiennes n’ont pas confirmé publiquement que les systèmes décrits par l’attaquant avaient été compromis.
Ce qui est confirmé, c’est que Revolut a divulgué des informations clients après avoir reçu des demandes frauduleuses envoyées depuis une adresse e-mail sur un domaine légitime d’une agence gouvernementale. La fintech a qualifié l’incident de « fraude sophistiquée d’usurpation d’identité externe ».
L’entreprise a initialement indiqué qu’un nombre limité de clients étaient affectés sans fournir de chiffre. Des rapports plus récents indiquent que Revolut a contacté 680 clients à la suite de son enquête initiale.
Les informations divulguées aux attaquants comprenaient des documents d’identité et financiers très sensibles. Selon le client concerné, cela peut inclure des noms, adresses, documents d’identité, photographies de vérification, informations bancaires et historiques de transactions, y compris l’activité en cryptomonnaies.
Revolut affirme que les attaquants n’ont pas compromis ses propres systèmes et que les fonds clients restent intacts.
Le hacker avance désormais des affirmations beaucoup plus larges concernant l’opération. IAmNotAVillain affirme que 147 Go d’informations ont été obtenues auprès des autorités italiennes, y compris des documents internes, des calendriers et des dossiers personnels. L’attaquant affirme également posséder des communications privées provenant de systèmes d’application de la loi.
Aucune de ces affirmations n’établit que 147 Go de données proviennent de Revolut. Au contraire, l’archive présumée provient de systèmes gouvernementaux italiens compromis.
L’attaquant affirme en outre que des dossiers clients Revolut ont été obtenus dans de nombreux pays, la plupart des données concernant des clients en Suisse et en France. D’autres pays prétendument représentés dans les informations volées incluent l’Allemagne, l’Espagne, l’Italie, la Pologne, la Suède, les Pays-Bas, l’Irlande, la Lituanie et le Royaume-Uni, entre autres. Ces affirmations géographiques n’ont pas non plus été confirmées par Revolut.
L’incident semble avoir exploité la confiance dans les communications officielles du gouvernement plutôt qu’une vulnérabilité au sein de l’infrastructure bancaire de Revolut. Après avoir détecté l’activité frauduleuse, Revolut a bloqué l’adresse e-mail et alerté l’agence gouvernementale concernée, les forces de l’ordre, les autorités de protection des données et les régulateurs financiers.
Le Bureau du commissaire à l’information du Royaume-Uni enquête après que Revolut a signalé l’incident. Pendant ce temps, le hacker a menacé de rendre publiques les informations volées des clients à moins qu’une rançon ne soit payée.