Pas de malware, pas de compte client piraté, pas de brèche revendiquée dans les systèmes de Revolut. Des fraudeurs ont utilisé une adresse créée au sein du domaine réel d’une administration pour envoyer de fausses demandes d’informations. La fintech les a crues authentiques et a transmis des données sensibles concernant un nombre limité de clients.
La demande venait bien d’un domaine gouvernemental
Selon Reuters, Revolut a confirmé le 12 septembre avoir reçu des demandes frauduleuses qui semblaient provenir d’une administration légitime. C’est ce détail qui a rendu l’attaque crédible. Il ne s’agissait pas simplement d’une adresse ressemblant à celle d’un organisme public. L’adresse utilisée avait été créée directement dans l’infrastructure du domaine officiel de l’agence concernée et disposait de mécanismes d’authentification valides.
Revolut indique avoir traité ces requêtes en pensant répondre à de véritables demandes gouvernementales. Ce n’est qu’en vérifiant ensuite leur authenticité auprès de l’administration que l’entreprise a découvert qu’elles provenaient d’un compte non autorisé. La fintech n’a pas révélé quelle agence avait été compromise, ni dans quel pays elle se trouvait.
Passeports, selfies et historiques de transactions
Les informations potentiellement communiquées vont bien au-delà d’une adresse email. D’après les notifications envoyées aux clients concernés et rapportées par The Block, les données pouvaient comprendre le nom, la date de naissance, l’adresse postale, le numéro de téléphone ou encore des copies de passeports et de permis de conduire.
Des selfies utilisés pour la vérification d’identité, des relevés de compte et des historiques de transactions ont également pu être transmis. Un client ayant rendu publique sa notification indique que figuraient aussi parmi les données concernées des IBAN, des retraits et l’intégralité de son historique de transactions, y compris en bitcoin.
Revolut parle d’un nombre limité de clients, sans communiquer de chiffre précis. L’entreprise assure que ses propres systèmes n’ont pas été compromis et que les fonds des utilisateurs n’ont pas été affectés.
Une adresse bloquée après vérification auprès de l’administration
Après avoir identifié la fraude, Revolut dit avoir bloqué l’adresse utilisée dans ses systèmes, averti l’agence gouvernementale concernée ainsi que les autorités et régulateurs compétents.
Le mécanisme reste particulièrement intéressant : les fraudeurs n’ont pas eu besoin d’imiter grossièrement une administration. Ils ont pu exploiter un compte présent sur son véritable domaine, avec les attributs techniques nécessaires pour donner à leurs messages l’apparence d’une demande officielle.
La faille ne se trouvait donc pas dans l’authentification d’un client Revolut, mais dans la chaîne de confiance utilisée pour traiter des demandes légales de transmission de données.
