Revolut, la célèbre néobanque, a transmis des informations sensibles à un tiers qui se faisait passer pour une agence gouvernementale. Des pièces d'identité et des historiques bancaires pourraient être concernés. Un groupe menace désormais de publier des dossiers chaque jour pour obtenir une rançon.
Une demande frauduleuse
L'attaque a exploité la procédure utilisée pour répondre aux demandes des autorités. Selon Revolut, l'expéditeur utilisait une adresse appartenant au domaine d'une véritable agence gouvernementale. La banque a traité ses demandes comme légitimes et lui a envoyé des informations, avant de découvrir l'imposture. Le problème se situe donc dans la vérification du demandeur, sans compromission annoncée des systèmes de Revolut.
La banque affirme avoir bloqué l'adresse, averti les autorités et contacté les clients concernés. Elle indique aussi que leurs fonds ne sont pas affectés. Le nombre de victimes n'est pas public, et ni l'agence usurpée ni les pays concernés n'ont été précisés. On ne sait donc pas si des comptes français figurent parmi les dossiers transmis.
Des documents sensibles
Les notifications évoquent des données d'identité et des coordonnées, ainsi que des copies de passeports ou de permis de conduire. Selon les comptes, des selfies de vérification, des relevés et des historiques de transactions pourraient aussi avoir été communiqués. Ces documents sont ceux qui permettent à une banque de vérifier l'identité d'un client et de retracer ses opérations, bien au-delà d'une simple adresse mail.
Mark Karpelès, ancien dirigeant de la plateforme d'échange de bitcoins Mt. Gox, a déclaré faire partie des personnes touchées. La notification qu'il a partagée mentionne aussi les IBAN, les retraits et les transactions en Bitcoin. Le chercheur ZachXBT évoque un possible ciblage de clients fortunés, une hypothèse que Revolut n'a pas confirmée.
Un chantage revendiqué
Depuis dimanche, un groupe affirmant détenir ces informations menace de publier de nouveaux dossiers quotidiennement tant qu'une rançon ne sera pas versée. Des fichiers sont présentés comme des échantillons, mais leur authenticité complète et le volume réellement détenu ne sont pas établis. Aucun montant de rançon n'a été rendu public dans les informations disponibles.
Cette revendication s'ajoute à une fuite déjà reconnue par la banque, sans prouver toutes les affirmations des attaquants. Pour un client, le risque peut continuer après le blocage de l'adresse frauduleuse : un escroc connaissant ses opérations récentes dispose d'arguments pour se faire passer pour un conseiller. Les pièces d'identité peuvent aussi alimenter d'autres tentatives d'usurpation, même si aucun argent n'a quitté le compte lors de cet incident.
On en dit quoi ?
Les banques demandent aux clients de vérifier chaque sollicitation, et cette exigence doit aussi s'appliquer quand elles transmettent leurs dossiers. L'origine apparemment officielle d'un mail ne suffit visiblement pas. Revolut doit maintenant expliquer comment elle contrôle ces demandes, parce que changer un mot de passe ne fera pas disparaître les documents déjà envoyés.
