Un groupe se présentant sous le nom “imnotavillain” a mis en ligne un compte à rebours et une exigence claire : payer l’équivalent de 3 millions de dollars ou voir les dossiers de 680 clients Revolut vendus à d’autres groupes criminels.
La fintech affirme aux médias n’avoir reçu aucun contact direct des auteurs revendiqués, d’après TechCrunch.
Un ultimatum de 24 heures, payé en cryptomonnaie
La demande formulée par iamnotavillain s’élève à environ 6 000 XMR, soit près de 3 millions de dollars au cours du Monero. Le choix de cette cryptomonnaie, réputée pour rendre le traçage des transactions particulièrement difficile, n’a rien d’anodin : une partie des clients visés par la fuite détiendraient des avoirs en cryptoactifs conséquents, et les attaquants semblent avoir pris soin d’aligner leur méthode d’encaissement sur le profil de leurs victimes.
Ce montant a lui-même déjà été revu à la baisse. Un premier chiffre, bien plus vertigineux, avait déjà fait le tour de Telegram quelques jours plus tôt, le week-end du 12 septembre : 10 000 bitcoins, soit environ 780 millions de dollars au cours de l’époque. iamnotavillain assure que cette somme provenait d’un usurpateur opérant sous le nom « Revolut Smilik », qui aurait reçu un simple échantillon de données et s’en serait attribué frauduleusement la paternité complète. Seule la fuite de données constitue à ce stade un fait établi ; les montants réclamés restent des déclarations émanant des attaquants eux-mêmes, non vérifiées de façon indépendante.
Pour appuyer leur revendication, les pirates ont publié des captures d’écran partiellement floutées ainsi qu’une vidéo d’une minute montrant, selon eux, des documents d’identité, des permis de conduire, des images de vérification faciale et des historiques de transactions. Ils ont commencé à diffuser certains documents en ligne et promettent d’en publier davantage chaque jour tant que la rançon ne sera pas versée.
Revolut dément tout contact avec les attaquants
Le 16 septembre, Revolut a réagi publiquement à cet ultimatum : selon les propos rapportés par Reuters, l’entreprise assure que personne, ni parmi les individus ni au sein du groupe à l’origine de la revendication, ne l’a approchée directement pour négocier quoi que ce soit. Une source proche du dossier est allée plus loin, auprès de l’agence, écartant toute idée d’intrusion dans les systèmes internes de la fintech : ni les serveurs, ni les bases de données, ni les comptes des clients n’auraient été touchés. Cette version rejoint les explications données dès le départ par Revolut, qui situe l’origine de la fuite du côté des fausses demandes gouvernementales, et non d’un piratage technique de son infrastructure.
Le régulateur britannique de la protection des données, l’Information Commissioner’s Office, a confirmé avoir reçu un signalement et être en train de l’évaluer. La Financial Conduct Authority a de son côté indiqué être en lien avec l’entreprise.
