CoinLineup a rapporté que Revolut avait divulgué des informations d’identité de clients ainsi que des relevés de transactions en Bitcoin après avoir reçu une demande qui semblait provenir d’une agence, mais qui s’est révélée par la suite être fausse. L’incident soulève des questions sur la manière dont les demandes portant sur des données financières sensibles sont vérifiées avant la communication des informations.

Les faits établis sont limités. Revolut, une entreprise de technologie financière, a communiqué deux catégories de données : des informations d’identité et des relevés de transactions en Bitcoin. Les données ont été fournies après réception de la demande frauduleuse. La date, le lieu, le nombre de personnes concernées et les champs précis divulgués n’ont pas été vérifiés.

Ce que Revolut a divulgué

La divulgation rapportée concernait des données d’identité, susceptibles d’identifier un client précis, ainsi que des relevés de transactions en Bitcoin, qui montrent l’activité de ce client en Bitcoin sur la plateforme. Les données reliant l’identité d’une personne à son historique de transactions peuvent être sensibles, car elles peuvent révéler un comportement financier associé à une personne nommément identifiée. Toutefois, les informations précises communiquées restent inconnues et l’ampleur potentielle de l’exposition n’a donc pas été établie.

La divulgation de relevés de transactions n’est pas équivalente à une perte de fonds. Le récit disponible ne fournit aucun élément indiquant que des bitcoins ont été volés, qu’un compte a été compromis ou que les systèmes de Revolut ont été piratés. Le problème décrit concerne la communication de données client, et non le vol d’argent.

Les relevés de transactions sont également différents des clés privées. Une personne qui consulte un historique de transactions ne peut pas, sur la seule base de ces informations, dépenser les bitcoins associés. Le contrôle des fonds dépend des clés privées, qui sont distinctes des relevés de transactions.

Ce que l’on sait de la fausse demande

La demande a été qualifiée de fausse parce qu’elle semblait provenir d’une agence légitime, mais ce n’était pas le cas. Elle a été reçue avant la divulgation des données, qui ont ensuite été communiquées.

L’identité de l’agence et du demandeur présumés, le canal de communication utilisé ainsi que les procédures de vérification appliquées par Revolut n’ont pas été confirmés. Aucun manquement procédural précis ni aucune conclusion juridique n’ont été établis dans le récit disponible. La séquence rapportée est la suivante : une entité se faisant passer pour une autorité légitime a demandé des données, et Revolut les a fournies. Les détails supplémentaires sur le fonctionnement de l’usurpation ou sur la manière dont elle a été détectée doivent être confirmés par une source vérifiée.

Revolut développe ses activités liées aux cryptomonnaies, notamment avec des projets de déploiement d’un stablecoin en euros dans l’Union européenne et sa demande en cours d’obtention d’une licence bancaire américaine. Dans ce contexte, la manière dont l’entreprise traite les demandes de données est pertinente pour ses activités plus larges, même si le rapport disponible n’établit aucun autre impact.

L’ampleur de l’exposition, la réponse officielle de Revolut et les éventuelles mesures de protection proposées aux clients restent inconnues. Tant que ces points n’auront pas été précisés par des sources vérifiées, l’incident doit être considéré comme un problème rapporté de vérification d’une demande de données, et non comme la preuve d’une perte financière.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou un conseil en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Les lecteurs doivent effectuer leurs propres recherches avant de prendre une décision.