Un groupe de hackers affirme détenir des données personnelles et financières appartenant à des clients de Revolut et réclame désormais une rançon de 6 000 Monero, soit environ 3 millions de dollars. Le groupe, qui se présente sous le nom « iamnotavillain », a publié mercredi sa demande accompagnée d’un compte à rebours de 24 heures et menace de vendre les informations à d’autres groupes criminels si Revolut ne paie pas dans le délai imposé.
Selon les informations rapportées par le Financial Times, les données potentiellement compromises comprennent des documents d’identité, des photos utilisées lors des contrôles de connaissance client et des historiques complets de transactions. Au moins 680 comptes auraient été affectés. Revolut a toutefois décrit publiquement le nombre de personnes concernées comme une « très faible » proportion de sa clientèle et affirme que ses systèmes internes ainsi que les fonds de ses clients n’ont pas été compromis.
Une demande de 6 000 XMR accompagnée d’un ultimatum
Le groupe « iamnotavillain » a fixé sa demande à 6 000 XMR. Avec une valeur implicite d’environ 500 dollars par Monero dans le calcul présenté, la rançon atteindrait approximativement 3 millions de dollars. Les hackers ont donné à Revolut 24 heures pour effectuer le paiement avant, selon leurs propres menaces, de proposer les données volées à d’autres acteurs criminels.
Le choix de Monero n’est pas présenté comme aléatoire. La cryptomonnaie est conçue pour masquer davantage d’informations transactionnelles que des réseaux publics comme Bitcoin ou Ethereum. Les détails concernant l’expéditeur, le destinataire et le montant sont protégés par des mécanismes de confidentialité intégrés au protocole.
Au moment du rapport cité, aucune négociation entre Revolut et les pirates n’avait été annoncée. Revolut n’avait pas non plus indiqué publiquement s’il comptait répondre à l’ultimatum ou confirmé que le groupe détenait réellement l’ensemble des informations qu’il prétend contrôler.
Une vidéo aurait montré des documents appartenant à des clients
Les hackers ont fourni au Financial Times une vidéo d’environ 60 secondes qui semblait montrer une partie des données revendiquées. Selon le rapport, on pouvait y voir des passeports, des permis de conduire, des photographies utilisées lors des procédures KYC ainsi que des historiques de transactions clients.
Cette vidéo constitue un élément supplémentaire dans les affirmations du groupe, mais Revolut n’a pas confirmé publiquement que toutes les informations montrées correspondaient à la fuite signalée.
L’incident avait déjà attiré l’attention des autorités britanniques. L’Information Commissioner’s Office avait ouvert une enquête après que Revolut a déclaré le problème aux régulateurs.
Le nombre connu de comptes affectés est d’au moins 680. Revolut n’a pas présenté ce chiffre comme une atteinte généralisée à l’ensemble de sa base d’utilisateurs, mais comme une portion très limitée de ses clients.
L’attaque ne serait pas passée par une intrusion directe dans Revolut
L’un des éléments les plus inhabituels de l’incident concerne la méthode utilisée.
Selon les informations disponibles, les attaquants n’ont pas directement pénétré les systèmes de Revolut. Ils se seraient plutôt fait passer pour des représentants gouvernementaux demandant des informations sur certains clients.
Les demandes frauduleuses provenaient d’une adresse électronique utilisant le domaine d’une véritable agence gouvernementale. Elles disposaient de mécanismes d’authentification de domaine valides et ont réussi à passer les contrôles employés par Revolut pour évaluer leur légitimité.
La société a alors fourni les informations demandées avant de découvrir que les requêtes étaient frauduleuses.
Cette séquence signifie que l’exposition n’a pas résulté, selon Revolut, d’une compromission de ses infrastructures internes, mais d’une fraude d’usurpation particulièrement sophistiquée.
Revolut dit avoir bloqué l’adresse après la découverte
Après avoir identifié le caractère frauduleux des demandes, Revolut a déclaré avoir bloqué l’adresse électronique concernée.
L’entreprise a également contacté l’agence gouvernementale dont le domaine avait été utilisé, les forces de l’ordre, les autorités chargées de la protection des données ainsi que les régulateurs financiers.
Revolut a qualifié l’incident de « sophisticated external impersonation scam », maintenant que ses propres systèmes étaient restés sécurisés.
La société n’a toutefois pas identifié publiquement l’agence gouvernementale concernée et n’a pas expliqué comment les attaquants avaient réussi à utiliser un compte fonctionnant sous le domaine de cette institution.
Cette absence d’information laisse une question importante ouverte : les demandes semblaient suffisamment authentiques pour franchir les vérifications, mais l’origine précise de l’accès utilisé par les attaquants n’a pas été détaillée.
Les données exposées dépasseraient de simples coordonnées
Les informations communiquées dans les premières descriptions de la fuite sont particulièrement sensibles.
Elles comprenaient notamment des noms complets, dates de naissance, professions, adresses personnelles, adresses électroniques et numéros de téléphone.
Des copies de passeports ou de permis de conduire faisaient aussi partie des dossiers concernés, tout comme des selfies envoyés lors des procédures de vérification d’identité.
L’exposition potentielle ne s’arrête donc pas à des données de contact. Elle associe des informations d’identité détaillées à des documents capables de confirmer l’identité réelle d’un client.
Cette combinaison peut rendre les dossiers particulièrement précieux pour des criminels cherchant à construire des messages ou demandes frauduleuses très crédibles.
Les données bancaires comprenaient des historiques complets
Les informations de compte mentionnées dans le rapport incluaient également des numéros IBAN, dates d’ouverture de compte, statuts de compte, historiques de retraits et historiques complets de transactions.
Dans certains relevés, des références de portefeuilles Bitcoin ainsi que des traces de transactions en Bitcoin étaient également présentes.
Cela signifie que certains dossiers pouvaient associer directement l’identité d’une personne à une partie de son activité financière traditionnelle et à certaines opérations liées aux cryptomonnaies.
Cette combinaison devient particulièrement importante au regard de ce que les hackers ont affirmé au sujet de leur méthode de sélection des victimes.
Les mots de passe et clés privées ne figurent pas parmi les données annoncées
Revolut a néanmoins établi plusieurs limites concernant les informations exposées.
La société a distingué les photographies utilisées pour vérifier l’identité des utilisateurs des données biométriques faciales plus techniques.
Selon Revolut, les données biométriques de télémétrie faciale n’ont pas fait partie de la divulgation.
L’avis envoyé aux clients ne mentionnait pas non plus des clés privées, mots de passe, codes de sécurité ou numéros complets de cartes de paiement parmi les informations compromises.
Cette distinction ne réduit pas la sensibilité des dossiers exposés, mais elle délimite les catégories que Revolut affirme ne pas avoir été concernées.
Les pirates disent avoir utilisé l’analyse blockchain pour choisir leurs cibles
Le groupe a déclaré au Financial Times qu’il avait utilisé des techniques d’analyse blockchain pour identifier des clients Revolut qui semblaient détenir des quantités importantes de cryptomonnaies.
Si cette affirmation est exacte, les 680 comptes n’auraient donc pas été sélectionnés de manière totalement aléatoire.
Ils auraient été choisis au moins en partie en fonction de leur activité financière visible sur des réseaux publics.
L’enquêteur on-chain ZachXBT avait déjà estimé que l’incident semblait toucher des utilisateurs disposant d’importants patrimoines. Revolut n’avait cependant pas confirmé cette interprétation.
Les déclarations des hackers vont dans la même direction, mais leur méthode de ciblage n’a pas été vérifiée de manière indépendante.
Les blockchains publiques peuvent relier activité et identité
Les blockchains publiques permettent de consulter des historiques de transactions, des soldes d’adresses et des mouvements entre portefeuilles.
Ces informations ne révèlent pas automatiquement l’identité réelle des utilisateurs.
Toutefois, lorsqu’une plateforme financière possède des dossiers reliant un compte client à une adresse ou une référence blockchain, une partie de cette activité peut potentiellement être associée à une personne identifiée.
Les données Revolut prétendument exposées pourraient réunir ces deux éléments.
D’un côté se trouvent les documents d’identité, coordonnées et informations personnelles. De l’autre apparaissent certains historiques Bitcoin et références de portefeuilles.
Cette combinaison pourrait permettre à des criminels de disposer d’un portrait financier plus détaillé qu’avec une fuite contenant uniquement des noms et adresses.
Monero a été choisi pour sa confidentialité transactionnelle
Les attaquants ont demandé leur rançon en Monero plutôt qu’en Bitcoin.
Le fonctionnement de Monero repose sur plusieurs mécanismes destinés à rendre les transactions privées par défaut.
Les signatures en anneau rendent plus difficile l’identification de l’expéditeur réel parmi plusieurs participants possibles. Les adresses furtives masquent l’adresse publique du bénéficiaire, tandis que Ring Confidential Transactions cache le montant envoyé.
Ces caractéristiques compliquent davantage le suivi d’un paiement que sur des réseaux transparents.
Le rapport précise toutefois que l’utilisation criminelle de XMR ne signifie pas que Monero ou l’ensemble de ses utilisateurs participent à des activités illégales.
La cryptomonnaie est également utilisée par des personnes recherchant simplement davantage de confidentialité financière.
Un précédent piratage illustre les difficultés du suivi
Le contenu rappelle un autre incident datant d’août concernant un piratage de Coinsbuy évalué à 7,9 millions de dollars.
Dans cette affaire, des enquêteurs avaient déclaré que certains actifs avaient été convertis en Monero.
Des sociétés d’analyse blockchain avaient pu suivre certaines parties des fonds à travers plusieurs plateformes avant qu’une portion ne soit échangée contre XMR.
Cet exemple sert surtout à illustrer la difficulté supplémentaire rencontrée lorsque des fonds quittent des réseaux transparents pour être convertis en actifs davantage axés sur la confidentialité.
Il ne signifie pas que l’incident Coinsbuy est lié à la fuite Revolut.
Le risque principal pourrait maintenant être l’usurpation ciblée
Pour les clients concernés, l’un des risques importants vient de la possibilité que des criminels utilisent de véritables informations pour rendre leurs messages plus convaincants.
Un fraudeur pourrait connaître le nom complet d’une personne, une ancienne transaction, certains détails de compte ou posséder une copie d’un document d’identité.
La présence de ces informations réelles peut donner à un faux appel, email ou message l’apparence d’une communication légitime provenant de Revolut, d’un exchange, d’une agence gouvernementale ou d’un fournisseur de portefeuille.
Le contenu souligne qu’une information personnelle exacte ne prouve pas que la personne qui contacte le client représente véritablement l’institution qu’elle prétend représenter.
Revolut rappelle de vérifier les contacts dans l’application
Dans ses recommandations de sécurité aux clients américains, Revolut indique qu’elle ne contactera pas soudainement un utilisateur pour lui demander d’effectuer un paiement ou de transmettre ses codes de sécurité et de vérification.
Lorsqu’un message ou un appel semble suspect, la société recommande de passer par son canal d’assistance intégré à l’application afin de vérifier son authenticité.
Cette recommandation prend une importance particulière dans un scénario où des fraudeurs pourraient posséder des informations exactes sur un compte.
Plus un message contient de détails personnels, plus il peut sembler crédible. La vérification via un canal indépendant devient donc essentielle.
Les autorités américaines donnent aussi des procédures de signalement
Le rapport ne précise pas si certains des 680 comptes appartiennent à des clients américains.
Il indique néanmoins que le type d’informations exposées pourrait créer un risque pour des utilisateurs américains recevant des tentatives de fraude.
La Federal Trade Commission oriente les personnes dont les informations personnelles ou bancaires ont été compromises vers IdentityTheft.gov pour obtenir des étapes adaptées au type de données concerné.
La FTC recommande également de signaler les tentatives de phishing via ReportFraud.ftc.gov.
L’Internet Crime Complaint Center du FBI demande pour sa part aux victimes de fraudes liées aux cryptomonnaies de fournir, lorsqu’elles sont disponibles, les adresses de portefeuille, les montants, les actifs concernés, les hashes de transaction ainsi que les dates et heures des transferts.
Le paiement de la rançon reste incertain
Au moment où les informations ont été publiées, aucune discussion entre Revolut et « iamnotavillain » n’avait été signalée.
Revolut n’avait pas annoncé son intention de payer les 6 000 XMR.
La société n’avait pas non plus confirmé publiquement que les hackers contrôlaient effectivement la totalité des dossiers qu’ils prétendaient avoir obtenus.
La situation repose donc encore en partie sur les déclarations du groupe criminel et les éléments montrés au Financial Times.
Ce qui est établi dans les informations disponibles est qu’un incident de divulgation a touché au moins 680 comptes et que Revolut l’a signalé aux autorités.
L’incident expose une faiblesse différente d’un piratage traditionnel
L’un des aspects les plus importants de cette affaire est finalement la manière dont les données auraient été obtenues.
La société affirme que ses systèmes n’ont pas été compromis directement. Les attaquants auraient exploité un processus conçu pour répondre à des demandes gouvernementales légitimes en fabriquant des requêtes suffisamment crédibles pour franchir les contrôles.
Cela transforme l’incident en problème de confiance et de vérification plutôt qu’en simple attaque contre une infrastructure technique.
Les données désormais revendiquées par les hackers sont particulièrement sensibles parce qu’elles combinent identité, documents officiels, historique bancaire et, dans certains cas, informations liées à des transactions Bitcoin.
L’ultimatum de 24 heures et la demande de 6 000 XMR ajoutent désormais une phase d’extorsion à une fuite déjà significative. Revolut maintient que les fonds de ses clients et ses systèmes centraux n’ont pas été compromis. Le principal enjeu immédiat devient donc la protection des personnes dont les informations pourraient être exploitées si les attaquants exécutent leur menace de vendre les dossiers à d’autres groupes criminels.
