Revolut expose l'activité Bitcoin et les passeports après une fausse demande gouvernementale

La banque numérique a transmis des données sensibles de clients, y compris passeports, selfies, adresses domiciliaires et détails de transactions Bitcoin après avoir traité une demande gouvernementale frauduleuse comme légitime, bien qu'aucun fonds n'ait été volé.

Revolut, la banque numérique basée à Londres avec plus de 40 millions d'utilisateurs dans le monde, a confirmé une importante violation de données après avoir été victime d'une attaque sophistiquée d'ingénierie sociale. L'entreprise a traité à tort ce qui semblait être une demande gouvernementale légitime de données, transmettant des informations client hautement sensibles à des fraudeurs se faisant passer pour des agents des forces de l'ordre.

Les données exposées comprennent des copies de passeports, des photos de vérification selfie, des adresses domiciliaires et, de manière critique pour les utilisateurs de crypto, des enregistrements détaillés de l'activité Bitcoin sur la plateforme. La violation affecte un nombre non divulgué de clients, bien que Revolut ait souligné qu'aucun fonds client n'a été compromis ou volé lors de l'incident. L'entreprise a détecté la demande frauduleuse après que les données aient déjà été transmises.

Cette violation met en évidence une vulnérabilité croissante dans l'écosystème crypto et fintech : l'exploitation des processus légaux de demande de données. Les institutions financières sont légalement obligées de répondre aux demandes gouvernementales et des forces de l'ordre, créant un vecteur d'attaque potentiel lorsque les criminels se font passer avec succès pour des autorités. L'inclusion de données de transactions Bitcoin est particulièrement préoccupante, car elle pourrait permettre des campagnes de phishing ciblées ou des menaces de sécurité physique contre des clients connus pour détenir des cryptomonnaies.

Revolut n'a pas révélé le mécanisme spécifique utilisé par les attaquants pour authentifier leur fausse demande, ni la juridiction qu'ils prétendaient représenter. Les experts de l'industrie suggèrent que les attaquants ont probablement forgé un en-tête officiel, utilisé des adresses e-mail gouvernementales compromises ou exploité des lacunes dans les procédures de vérification que les banques utilisent pour authentifier les demandes des forces de l'ordre. La sophistication requise suggère une opération criminelle organisée plutôt que des pirates opportunistes.

Pour les clients affectés, l'exposition de données de passeport combinée à l'activité de cryptomonnaie crée de multiples risques. Le vol d'identité devient plus facile avec des documents d'identité vérifiés, tandis que la connaissance des avoirs en Bitcoin fait des personnes des cibles pour les attaques de swap SIM, les tentatives de phishing ou même les menaces physiques. Les chercheurs en sécurité recommandent aux utilisateurs affectés d'activer des couches d'authentification supplémentaires, de surveiller les rapports de crédit et de considérer le changement d'adresses associées à des avoirs crypto de grande valeur.

L'incident survient à un moment sensible pour Revolut, qui cherche des licences bancaires dans plusieurs juridictions et fait face à un examen réglementaire accru concernant sa croissance rapide et ses pratiques de conformité. L'entreprise traite des milliards de transactions crypto annuellement et se positionne comme un pont entre la banque traditionnelle et les actifs numériques. Cette violation pourrait inciter les régulateurs à examiner comment les entreprises fintech vérifient et répondent aux demandes gouvernementales de données.

Revolut a déclaré avoir signalé l'incident aux autorités compétentes de protection des données et aux agences d'application de la loi, et met en œuvre des étapes de vérification supplémentaires pour les futures demandes gouvernementales. L'entreprise notifie directement les clients affectés et offre des services de surveillance du crédit. Les observateurs de l'industrie notent que des attaques d'ingénierie sociale similaires ciblant le processus de demande de données ont affecté d'autres institutions financières, suggérant que cela pourrait représenter un vecteur de menace émergent dans l'ensemble du secteur plutôt qu'un incident isolé dans une seule entreprise.