La fintech britannique fait face à une crise majeure de confidentialité. Revolut : des pirates publient des données KYC et réclament une rançon après avoir dupé l’entreprise pendant six mois. Les cybercriminels n’ont pas forcé les portes numériques de la banque en ligne. Ils ont simplement trompé ses employés en se faisant passer pour une institution italienne officielle. Environ 680 clients voient aujourd’hui leurs informations personnelles menacées de diffusion publique.
En bref
- Des pirates ont obtenu des données KYC de 680 clients Revolut (principalement en Suisse et France) en usurpant l’identité d’une agence gouvernementale italienne pendant 6 mois
- Le groupe « IAmNotAVillain » exige 3 millions de dollars en Monero et menace de vendre les informations confidentielles (pièces d’identité, selfies, historiques de transactions)
- Aucune intrusion informatique n’a eu lieu : Revolut a transmis volontairement les données en réponse à ce qu’elle croyait être une demande officielle légitime
- Les comptes clients et leurs fonds restent sécurisés, seules les données personnelles d’identification ont été compromises
- Les autorités britanniques et italiennes enquêtent, tandis que Revolut prépare son introduction en Bourse à New York avec une valorisation de 200 milliards de dollars
Retour sur l’incident de sécurité chez Revolut
Revolut : des pirates publient des données KYC et réclament une rançon après avoir trompé la fintech par ingénierie sociale. Contrairement à ce qu’on pourrait croire, les serveurs de Revolut n’ont pas été piratés. Les cybercriminels ont réussi à obtenir des informations sensibles en se faisant passer pour une agence gouvernementale italienne pendant plusieurs mois.
L’incident a été révélé un vendredi soir lorsque Revolut a alerté ses clients concernés. La banque en ligne, qui compte 80 millions de clients dans plus de 30 pays, a confirmé l’affaire dans la soirée du 16 septembre.
Environ 680 clients ont été touchés, principalement en Suisse et en France. Les pirates ont ciblé des portefeuilles contenant une grande quantité de cryptoactifs, montrant qu’il s’agissait d’une opération de vols de crypto soigneusement planifiée.
Les détails de l’attaque : un chantage à la rançon
Un groupe se présentant sous le nom « IAmNotAVillain » a menacé de vendre les données confidentielles à d’autres groupes criminels. Leur stratégie visait à faire pression sur Revolut en promettant de publier davantage de documents chaque jour.
Les cybercriminels ont déjà partagé des captures d’écran partiellement floutées et une vidéo d’environ une minute. Ces éléments montrent des documents d’identité, des vérifications faciales et des historiques de transactions.
Les informations divulguées lors de la fuite
Les données exposées concernent principalement des informations KYC (Know Your Customer), ces vérifications d’identité obligatoires pour ouvrir un compte bancaire ou crypto. Les pirates affirment détenir :
- Identité complète et coordonnées personnelles
- Date de naissance et adresse postale
- Numéro de téléphone et adresse e-mail
- Copies de pièces d’identité officielles
- Selfies de vérification et relevés de compte
- Historique de transactions en monnaie fiduciaire et cryptomonnaies
Rassurant malgré tout, les comptes clients n’ont pas été hackés. L’infrastructure principale et les bases de données de Revolut restent sécurisées. Les fonds des clients n’ont pas été affectés par cet incident.
La rançon demandée et les modalités de paiement
Les pirates ont exigé 3 millions de dollars avec un ultimatum de 24 heures. Ce montant correspond à environ 6 000 XMR (Monero), une cryptomonnaie réputée pour son anonymat.
Un autre chiffre a circulé sur Telegram mentionnant 10 000 bitcoins, soit environ 780 millions de dollars. Cette somme astronomique n’a jamais été confirmée officiellement et semble peu crédible.
Revolut déclare pourtant n’avoir reçu aucun contact direct ni aucune demande de la part des individus formulant ces allégations. Cette situation crée un paradoxe surprenant dans cette affaire.
Une méthode d’ingénierie sociale sophistiquée
L’attaque repose sur une usurpation d’identité particulièrement élaborée. Les pirates ont utilisé une adresse e-mail d’un domaine légitime appartenant au gouvernement italien. Certaines sources évoquent que ces messages seraient partis d’une préfecture de Reggio de Calabre.
Les échanges par e-mail se sont poursuivis pendant 6 mois. Cette durée montre la patience des cybercriminels et leur capacité à maintenir une apparence crédible sur le long terme.
Revolut a livré passeports et historiques Bitcoin en pensant répondre à une requête officielle. Ce n’est pas un piratage classique avec intrusion dans les serveurs, mais une manipulation psychologique qui a exploité les processus légaux de l’entreprise.
Réaction de Revolut face à incident
La fintech britannique a rapidement mis en place plusieurs mesures. Elle a bloqué l’adresse e-mail utilisée par les pirates et alerté l’agence gouvernementale concernée de cette usurpation.
Revolut a contacté directement le nombre limité de personnes impactées. L’entreprise a également signalé l’incident aux forces de l’ordre, aux autorités de protection des données et aux régulateurs financiers.
Cette transparence intervient à un moment délicat pour Revolut. La société prépare son introduction en Bourse à New York avec une valorisation potentielle pouvant atteindre 200 milliards de dollars.
Conséquences pour les clients concernés
Les victimes de cette fuite risquent plusieurs types d’attaques. Avec leurs pièces d’identité et informations personnelles exposées, elles deviennent des cibles privilégiées pour l’usurpation d’identité et les arnaques ciblées.
Nous conseillons aux personnes concernées de geler leur dossier de crédit lorsque c’est possible. Cette précaution empêche l’ouverture de nouveaux comptes frauduleux à votre nom.
Il est également recommandé de définir un nouveau code d’accès et d’activer les alertes liées à la carte Revolut. Ces mesures simples permettent de détecter rapidement toute activité suspecte.
Attention aux tentatives de contact suspects. Ne communiquez jamais avec une personne qui connaît déjà votre IBAN ou les détails de votre dernière transaction en bitcoins. Les escrocs utilisent ces informations pour gagner votre confiance.
Actions des autorités et régulateurs
L’autorité britannique de protection des données (ICO) confirme avoir reçu un signalement. Elle examine actuellement les informations transmises par Revolut pour évaluer la gravité de l’incident.
La Financial Conduct Authority (FCA), le régulateur financier britannique, est en lien avec l’entreprise. Son rôle consiste à vérifier que Revolut respecte ses obligations en matière de sécurité des données clients.
En Italie, l’autorité de protection de la vie privée a demandé aux banques du pays d’examiner leurs systèmes d’accès aux données. Cette directive vise à identifier d’éventuelles failles similaires dans le secteur financier italien.
La police italienne a ouvert une enquête pour identifier les responsables de cette usurpation d’identité gouvernementale. Les investigations cherchent à déterminer comment les pirates ont pu utiliser une infrastructure officielle.
Prévenir de futures fuites de données chez Revolut et au-delà
Cet incident met en lumière la vulnérabilité des processus de vérification, même chez les acteurs technologiques réputés sécurisés. Les entreprises doivent renforcer leurs protocoles de validation des demandes officielles, surtout quand elles impliquent des données sensibles.
L’authentification multi-facteurs ne suffit plus face à des attaques d’ingénierie sociale aussi élaborées. Les équipes doivent être formées à détecter les signaux d’alerte, même lorsque les demandes semblent provenir de sources légitimes.
Pour les utilisateurs, la diversification reste une protection efficace. Éviter de concentrer tous ses actifs crypto sur une seule plateforme limite les risques en cas de compromission des données KYC.
Les régulateurs devront probablement imposer des standards plus stricts pour le traitement des demandes de données clients. La simple vérification de l’origine d’un e-mail ne suffit manifestement plus à garantir la légitimité d’une requête officielle.
FAQ
Les serveurs de Revolut ont-ils été piratés ?
Les serveurs de Revolut n’ont pas été piratés : les cybercriminels ont obtenu des données via ingénierie sociale, en se faisant passer pour une agence gouvernementale italienne.
Quelles informations KYC ont été divulguées lors de la fuite ?
Quelles informations KYC ont été divulguées lors de la fuite : identité complète, coordonnées, date de naissance, pièces d’identité, selfies de vérification, relevés de compte et historique de transactions fiat et crypto.
Quelle rançon a été demandée et comment devait-elle être payée ?
Quelle rançon a été demandée et comment devait-elle être payée : 3 millions de dollars avec un ultimatum de 24 heures, soit environ 6 000 XMR (Monero) selon les pirates.
Combien de clients ont été touchés et dans quels pays ?
Combien de clients ont été touchés et dans quels pays : environ 680 clients, principalement en Suisse et en France, avec un ciblage de portefeuilles contenant beaucoup de cryptoactifs.
Quels risques pour les clients concernés après la fuite de données KYC ?
Quels risques pour les clients concernés après la fuite de données KYC : usurpation d’identité et arnaques ciblées ; surveillez les contacts suspects, surtout si l’on cite votre IBAN ou des transactions.
Quelles mesures prendre si vous pensez être concerné par l’incident Revolut ?
Quelles mesures prendre si vous pensez être concerné par l’incident Revolut : geler votre dossier de crédit si possible, changer le code d’accès, activer les alertes carte Revolut et signaler toute activité suspecte.