Que s'est-il passé exactement ?
Revolut, société fintech européenne, a confirmé une fuite de données sensibles concernant une partie de ses clients. Selon l'entreprise, les attaquants ont utilisé un domaine e-mail légitime d'une administration publique pour envoyer une fausse demande d'informations. Revolut a jugé la demande authentique et a divulgué les données.
L'incident a d'abord été signalé par l'enquêteur on-chain connu sous le nom de ZachXBT. Revolut a ensuite confirmé ses constatations. Voilà pour les faits qui apparaissent de manière concordante à travers les sources (Incrypted, The Block, Decrypt, CryptoSlate).
Quelles données ont pu fuiter ?
Selon les informations reçues par les clients concernés (et citées par CryptoSlate et Decrypt), la liste des données divulguées pouvait comprendre :
| Catégorie | Données concrètes |
|---|---|
| Documents d'identité | copie du passeport ou du permis de conduire, selfie de vérification |
| Données personnelles | nom, date de naissance, profession, adresse du domicile, téléphone |
| Données bancaires | IBAN, relevés de compte |
| Historique des transactions | relevés des retraits et historique complet des transactions, y compris l'activité bitcoin |
Le selfie de vérification est une photo du visage prise lors de la vérification d'identité (KYC, c'est-à-dire "connais ton client"), que les banques utilisent pour confirmer que c'est bien le véritable titulaire du document qui s'inscrit.
Selon les sources, Revolut décrit l'ampleur comme un "nombre limité" de clients. Le chiffre exact n'est pas connu publiquement.
Comment l'attaque a-t-elle fonctionné ?
Il ne s'agissait pas d'un hack classique des systèmes de Revolut. Selon CryptoSlate, la demande provenait d'une boîte non autorisée, qui fonctionnait toutefois au sein de l'infrastructure de domaine d'une administration publique. Autrement dit, l'adresse de l'expéditeur paraissait authentique parce qu'elle appartenait réellement au domaine de l'administration.
Cela fait de cet incident plutôt un échec du processus de vérification des demandes légitimes des autorités publiques qu'une intrusion dans une base de données. Il s'agit d'un type d'attaque appelé en anglais "fraudulent data request", c'est-à-dire une demande de données frauduleuse qui abuse de la confiance entre institutions.
Qui était visé ?
Selon The Block, ZachXBT a émis l'hypothèse que l'attaque pouvait viser des utilisateurs fortunés (high-net-worth). CryptoSlate parle dans son titre de "wealthy customers". Il s'agit toutefois pour l'instant d'une hypothèse de l'enquêteur, et non d'un fait confirmé par Revolut. Nous le qualifions donc de non confirmé.
Pourquoi cela compte-t-il pour les cryptomonnaies ?
Aucune fuite d'argent à proprement parler n'a eu lieu. Le problème réside dans la combinaison des données. Lorsque quelqu'un détient à la fois un document d'identité, une adresse de domicile, un téléphone et l'historique complet des transactions bitcoin, il obtient du matériel pour du phishing ciblé, du chantage ou des attaques dites "à la clé" (menace physique de personnes connues pour détenir des cryptos).
L'historique des transactions permet en outre de relier une identité réelle à des adresses on-chain concrètes. C'est précisément le type de désanonymisation contre lequel les experts mettent en garde depuis longtemps lors des fuites de données KYC.
Ce qui reste inconnu ?
Nous ne connaissons pas encore publiquement le nombre exact de clients touchés, ni l'administration publique et la juridiction concernées, ni si et comment les données fuitées ont été ensuite exploitées. Nous ne connaissons pas non plus les mesures correctives mises en place par Revolut. Ces points ne sont pas étayés dans les sources disponibles.
À quoi faire attention avec ce type d'incident
Il ne s'agit pas d'un conseil sur ce qu'il faut faire de son argent, mais de schémas généraux qui méritent d'être suivis lors des fuites de données KYC : risque accru de phishing ciblé sur les utilisateurs concernés, tentatives possibles de prise de contrôle de comptes et communication officielle de l'entreprise sur l'ampleur et les mesures correctives. On peut aussi surveiller si le régulateur de la juridiction concernée commence à enquêter sur l'incident.