L'incident illustre une menace particulièrement difficile à détecter pour les entreprises : lorsqu'un attaquant parvient à compromettre une identité numérique considérée comme fiable, les protections techniques traditionnelles peuvent ne plus suffire.
Selon les informations du Financial Times, Revolut a contacté 680 personnes après une première investigation sur cette violation de données.
La fintech assure toutefois que ses propres systèmes n'ont pas été compromis et que les fonds de ses clients sont restés protégés.
Comment des fraudeurs ont réussi à obtenir des données de clients Revolut
L'attaque ne correspond pas au scénario classique d'une cyberattaque contre une banque.
Les cybercriminels n'auraient pas pénétré directement dans les bases de données de Revolut.
Ils ont utilisé une adresse électronique appartenant à un domaine légitime d'une agence gouvernementale pour transmettre des demandes frauduleuses d'informations concernant des clients.
Pour Revolut, les demandes semblaient donc provenir d'une autorité légitime.
La fintech les a traitées et a transmis les informations demandées avant d'identifier la fraude.
Revolut décrit l'opération comme une « sophisticated external impersonation scam », c'est-à-dire une fraude sophistiquée reposant sur l'usurpation d'une entité extérieure.
L'entreprise indique avoir ensuite bloqué l'adresse concernée et alerté l'agence gouvernementale usurpée ainsi que les autorités compétentes.
Ce fonctionnement distingue fortement l'affaire d'un piratage classique : la faiblesse exploitée se situe dans le processus de confiance et de vérification des demandes, et non dans l'accès technique aux systèmes bancaires.
Quelles données Revolut a-t-il transmises ?
Les informations susceptibles d'avoir été communiquées sont particulièrement sensibles.
Selon les informations disponibles et les notifications adressées à certains clients, elles peuvent notamment comprendre :
- le nom ;
- la date de naissance ;
- l'adresse postale ;
- l'adresse électronique ;
- le numéro de téléphone ;
- des copies de documents d'identité ;
- des passeports ou permis de conduire ;
- des photographies utilisées pour la vérification d'identité ;
- des relevés de compte ;
- des IBAN ;
- des informations relatives aux retraits ;
- des historiques de transactions ;
- certaines informations relatives à des transactions en bitcoin.
Le contenu exact peut cependant varier selon les personnes concernées.
Revolut n'a pas publiquement confirmé que chacune de ces catégories de données avait été exposée pour l'ensemble des 680 clients.
Cette distinction est importante : il s'agit d'un groupe limité au regard des quelque 80 millions de clients revendiqués par Revolut dans le monde, mais la sensibilité des informations concernées rend l'incident significatif.
Environ 680 clients Revolut seraient concernés
Revolut avait initialement évoqué un nombre très limité de clients sans communiquer de chiffre précis.
Les nouvelles informations publiées font désormais état de 680 personnes contactées par Revolut après une première investigation.
En Irlande, par exemple, une douzaine de clients seraient concernés.
Aucun élément suffisamment solide ne permet en revanche d'affirmer que 680 clients français ont été touchés.
La répartition géographique complète des victimes n'est pas connue publiquement à ce stade.
Les pirates menacent désormais de publier les données
L'incident a pris une dimension supplémentaire lorsque des individus affirmant détenir les informations ont commencé à menacer Revolut.
Ils affirment pouvoir publier progressivement les données récupérées si l'entreprise ne répond pas à leur demande de rançon.
Cette menace transforme une fraude par usurpation en tentative d'extorsion.
Pour les personnes concernées, le risque ne se limite donc pas à la confidentialité.
Des documents d'identité, coordonnées personnelles et informations financières peuvent potentiellement être utilisés pour préparer des campagnes de phishing particulièrement crédibles, des tentatives d'usurpation d'identité ou d'autres fraudes.
Les clients directement concernés doivent en priorité suivre les recommandations transmises par Revolut et renforcer leur vigilance face aux communications utilisant des informations personnelles pour gagner leur confiance.
Revolut affirme que ses systèmes n'ont pas été piratés
C'est l'un des éléments essentiels pour comprendre l'affaire.
Revolut affirme que ses systèmes et les fonds de ses clients n'ont pas été compromis.Il serait donc imprécis de présenter l'incident comme une intrusion informatique ayant permis aux attaquants d'accéder directement aux comptes bancaires de 680 personnes.
Le mécanisme est différent.
Les fraudeurs ont réussi à exploiter un canal considéré comme suffisamment fiable pour convaincre l'entreprise de leur transmettre elle-même des informations.
Cette nuance n'atténue pas la gravité de la violation de données, mais elle change complètement l'analyse du risque.
Le régulateur britannique examine l'incident
L'Information Commissioner's Office, l'autorité britannique chargée de la protection des données, a reçu un signalement concernant l'incident et examine les informations communiquées.
La Financial Conduct Authority britannique a également indiqué être informée de l'affaire et échanger avec Revolut afin d'en comprendre les conséquences et les mesures prises.
L'enjeu réglementaire sera notamment de déterminer si les procédures utilisées pour authentifier les demandes de communication de données étaient suffisamment robustes.
Revolut indique avoir alerté l'agence gouvernementale concernée, les forces de l'ordre ainsi que les autorités de protection des données et de régulation financière.
Une attaque qui révèle une faiblesse différente de la cybersécurité classique
L'affaire Revolut présente un intérêt qui dépasse largement le secteur bancaire.
Les entreprises investissent massivement dans la protection de leurs infrastructures : authentification multifacteur, chiffrement, surveillance des accès, segmentation des réseaux ou détection automatisée des comportements suspects.
Mais ces protections peuvent être insuffisantes lorsque l'attaquant n'essaie pas de pénétrer dans le système.
Il cherche simplement à devenir suffisamment crédible pour que l'entreprise lui fournisse l'information elle-même.
C'est une déclinaison particulièrement sophistiquée de l'ingénierie sociale et des risques de cybersécurité pour les entreprises.
Une adresse provenant d'un domaine officiel constitue normalement un signal de confiance fort.
Mais elle ne garantit pas que la personne qui contrôle cette adresse soit réellement celle qu'elle prétend être.
L'incident pose donc une question opérationnelle : une demande sensible doit-elle pouvoir être validée uniquement parce qu'elle provient d'un canal numérique reconnu ?
Pour les banques, fintechs, assurances et entreprises manipulant des informations confidentielles, la réponse devient de plus en plus clairement négative.
Ce que les entreprises peuvent retenir de l'affaire Revolut
Le premier enseignement est que la sécurité d'une entreprise dépend aussi de celle des organisations avec lesquelles elle échange.
Un fournisseur, une administration, un partenaire ou un client compromis peut devenir un vecteur permettant de contourner certaines procédures internes.
Les entreprises manipulant des données sensibles peuvent donc avoir intérêt à appliquer une vérification supplémentaire pour les demandes inhabituelles ou particulièrement sensibles :
- confirmation par un deuxième canal indépendant ;
- vérification de l'identité de l'émetteur ;
- validation interne avant transmission massive de données ;
- journalisation des demandes ;
- limitation des informations transmises au strict nécessaire ;
- procédures spécifiques pour les demandes émanant d'autorités ;
- détection des demandes présentant un comportement inhabituel.
Cette logique rejoint plus largement la nécessité de renforcer la cybersécurité des entreprises face à des attaques qui ciblent désormais autant les processus humains que les infrastructures informatiques.
Revolut face à un enjeu de confiance
L'incident intervient alors que Revolut a changé de dimension.
Créée en 2015, la fintech revendique désormais environ 80 millions de clients dans une trentaine de pays et poursuit son expansion internationale.
Cette croissance transforme également la nature de ses risques.
Une banque numérique concentre des données d'identité, des informations financières et parfois des activités liées aux cryptoactifs. Ces informations constituent une cible particulièrement intéressante pour les cybercriminels.
Pour Revolut, l'enjeu sera donc autant technique que réputationnel.
L'entreprise doit démontrer que ses procédures de traitement des demandes externes ont été renforcées après l'incident.
Faut-il s'inquiéter si l'on possède un compte Revolut ?
À ce stade, rien n'indique que l'ensemble des clients Revolut soit concerné.
L'entreprise affirme avoir directement contacté les personnes identifiées comme affectées.
Les systèmes de Revolut et les fonds détenus sur les comptes n'auraient pas été compromis.
Pour un utilisateur n'ayant reçu aucune notification, il n'existe donc pas d'élément permettant de conclure que ses informations ont été exposées dans cet incident précis.
La vigilance reste néanmoins pertinente face aux tentatives de phishing.
Un attaquant possédant déjà le nom, l'adresse, le numéro de téléphone ou certaines informations bancaires d'une victime peut construire un message beaucoup plus crédible qu'un phishing traditionnel.
Une communication contenant des données exactes ne doit donc jamais être considérée, à elle seule, comme une preuve qu'elle provient réellement de Revolut.
