La fuite de données chez Revolut s’aggrave : des pirates ont publié des selfies de clients avec leur passeport et menacent de poursuivre ces divulgations jour après jour.

Les hackers ayant attaqué Revolut ne se contentent plus de faire chanter l’entreprise et commencent désormais à divulguer publiquement les données personnelles de ses clients. La communauté de cybersécurité International Cyber Digest a révélé le 13 septembre sur X que les hackers avaient rendu publiques des copies des pièces d’identité du joueur de tennis Alexander Shevchenko et du PDG de Gamdom, Felix Römer ; ils menacent de poursuivre les fuites quotidiennement.

Les selfies avec passeport du PDG de Gamdom et d’un joueur de tennis ont été divulgués

La communauté de cybersécurité International Cyber Digest a révélé le 13 septembre sur X que les hackers ayant attaqué Revolut étaient officiellement entrés dans une deuxième phase, en commençant à rendre publiques des selfies avec passeport et des copies de pièces d’identité de clients. Les victimes dont les données ont été rendues publiques à ce jour comprennent le joueur de tennis Alexander Shevchenko ainsi que Felix Römer, PDG du casino en ligne de cryptomonnaies Gamdom et de Skinscom.

Les hackers ont annoncé sur Telegram qu’ils continueraient à publier davantage de données chaque jour jusqu’à ce que Revolut « paie », marquant le passage de l’extorsion privée à une pression publique.

Revolut explique la méthode de l’attaque : une escroquerie par usurpation utilisant le domaine officiel d’un gouvernement

Revolut a expliqué samedi à Cointelegraph que l’incident avait été provoqué par une « escroquerie sophistiquée par usurpation externe » (sophisticated external impersonation scam). Les hackers ont envoyé des courriels frauduleux depuis le domaine officiel d’une véritable institution gouvernementale, en falsifiant une demande d’enquête légitime sollicitant des données d’utilisateurs auprès de Revolut ; comme les courriels provenaient d’un domaine gouvernemental légitime et non d’un domaine similaire utilisé dans les courriels d’hameçonnage classiques, l’équipe de conformité de Revolut les a pris à tort pour une véritable demande d’enquête gouvernementale et a fourni les données des clients concernés.

Cela signifie que le système de messagerie du gouvernement concerné pourrait avoir été piraté ou compromis, ce qui étend la portée de l’incident au-delà d’une banale faille de cybersécurité d’entreprise. Revolut a indiqué qu’un « nombre limité » de clients était concerné et que ses systèmes ainsi que les fonds des clients n’avaient pas été affectés.

Les six catégories de données personnelles divulguées signalées par Revolut aux utilisateurs concernés

Revolut a informé vendredi les utilisateurs concernés que les données divulguées couvraient les six catégories suivantes :

· Nom complet, date de naissance, profession

· Coordonnées : adresse électronique, numéro de téléphone, adresse

· Détails du compte et historique complet des transactions

· Historique des transactions en bitcoins (montants achetés et vendus, dates et heures)

· Selfies de vérification faciale (facial-verification selfies)

· Copies de pièces d’identité : passeport, permis de conduire, etc.

Cela signifie que les hackers disposent non seulement des informations d’identité de base, mais aussi d’une vue d’ensemble de l’activité financière des clients sur Revolut, de leurs dépenses quotidiennes à leurs achats et ventes de cryptomonnaies ; les selfies de vérification faciale associés aux données personnelles complètes représentent un risque extrêmement élevé de vol d’identité.

Pourquoi la fuite de l’historique des transactions en bitcoins représente un risque particulier pour la communauté des cryptomonnaies

Revolut est actuellement l’une des rares banques numériques à intégrer les comptes en monnaie fiduciaire et l’achat-vente de cryptomonnaies dans une même application. L’historique des transactions en bitcoins, les avoirs et le calendrier des achats et ventes des utilisateurs sur Revolut ont tous été divulgués, ce qui revient à donner aux hackers une vue d’ensemble de la répartition des actifs en cryptomonnaies des clients.

Il convient de noter que les victimes comprennent Felix Römer, le PDG de Gamdom, ce qui montre que les hackers pourraient cibler délibérément des personnalités du secteur des cryptomonnaies dans le cadre de fuites ciblées afin d’accroître leur pouvoir de négociation. Pour les utilisateurs de Revolut qui effectuent des transactions en cryptomonnaies, leur historique de transactions en BTC, les montants achetés et vendus ainsi que les dates et heures sont désormais entre les mains des hackers ; il leur est conseillé de surveiller attentivement leur dossier de crédit et l’activité de leurs comptes.

Trois points clés à surveiller

Alors que les hackers ont annoncé qu’ils poursuivraient les fuites quotidiennement, trois points clés méritent d’être suivis. Premièrement, Revolut entrera-t-elle en contact avec les hackers ou paiera-t-elle une rançon — la stratégie adoptée par l’institution financière face à l’extorsion constituera un point central de la suite de l’affaire. Deuxièmement, à quel organisme gouvernemental de quel pays appartenait exactement le « domaine officiel du gouvernement » utilisé ? Cette question concerne les failles de cybersécurité du gouvernement de ce pays et pourrait entraîner des enquêtes ultérieures sur les plans diplomatique et réglementaire.

Troisièmement, la Financial Conduct Authority britannique (FCA) ou d’autres autorités de régulation infligeront-elles une amende à Revolut — bien que l’attaque ait été provoquée par l’usurpation de courriels gouvernementaux, la rigueur du processus de vérification de Revolut lors de la réception de demandes d’enquête gouvernementales fera toujours l’objet d’un examen.

Questions fréquentes

Quels types de données ont été divulgués lors de l’incident de fuite de Revolut, et quelles personnalités connues ont été touchées ?

Les données divulguées comprennent les noms complets, les dates de naissance, les coordonnées, l’historique complet des transactions, l’historique des transactions en bitcoins, les selfies de vérification faciale ainsi que des copies de passeports et de permis de conduire ; les personnalités connues dont l’implication a été confirmée à ce jour sont le joueur de tennis Alexander Shevchenko et le PDG de Gamdom, Felix Römer.

Comment les hackers ont-ils obtenu les données des clients de Revolut ?

D’après les explications de Revolut à Cointelegraph, les hackers ont envoyé des courriels frauduleux depuis le domaine officiel d’une véritable institution gouvernementale. L’équipe de conformité de Revolut les a pris à tort pour une demande d’enquête gouvernementale légitime et a ensuite fourni les données des clients, ce qui signifie que le système de messagerie du gouvernement concerné pourrait avoir été piraté.

Quelle menace les hackers ont-ils formulée après avoir divulgué publiquement les données, et quelle est la position officielle de Revolut ?

Les hackers ont annoncé sur Telegram qu’ils continueraient à publier davantage de données chaque jour jusqu’à ce que Revolut « paie » ; Revolut a indiqué qu’un « nombre limité » de clients était concerné et que ses systèmes ainsi que les fonds des clients n’avaient pas été affectés, mais n’a pas encore indiqué si elle répondrait aux demandes des hackers.