Les pirates derrière la récente fuite de données de la plateforme fintech mondiale Revolut ont menacé de vendre les informations volées à d'autres groupes criminels s'ils ne recevaient pas les 200 bitcoins demandés sous 24 heures. L'entreprise a déclaré que l'incident provenait d'un schéma frauduleux d'usurpation d'identité plutôt que d'une compromission directe de ses systèmes, et qu'elle ne compte pas payer de rançon.

Les pirates exigent 6 000 XMR

Le groupe à l'origine de l'attaque, se faisant appeler « iamnotavillain », a publié sa demande en ligne accompagnée d'un compte à rebours, selon le Financial Times. Il a réclamé 6 000 XMR, une somme d'une valeur d'environ 3 millions de dollars au moment du rapport. Les délais fondés sur un compte à rebours constituent une tactique de pression standard dans les tentatives d'extorsion, conçue pour compresser la fenêtre de décision de la cible.

Le choix de Monero est notable dans une affaire d'extorsion dans le domaine des cryptomonnaies. Contrairement au réseau Bitcoin, où les transactions peuvent être consultées ouvertement sur la blockchain, Monero est conçu pour offrir une plus grande confidentialité lors des transactions, rendant les paiements nettement plus difficiles à tracer. Cette orientation vers la confidentialité explique pourquoi les privacy coins sont un choix récurrent pour les paiements d'extorsion.

Selon le Financial Times, les pirates ont déclaré n'avoir eu aucune communication avec Revolut jusqu'au moment de la publication de la demande. Le groupe a également publié une courte vidéo qui semblait une capture d'écran des données clients prétendument recueillies lors de l'incident.

Environ 680 comptes clients touchés

Des données prétendument liées à environ 680 comptes clients auraient été volées lors de la fuite. Revolut a indiqué que l'incident n'impliquait pas de violation directe de ses systèmes centraux, de ses bases de données ou des comptes de ses clients. À la place, les attaquants auraient soumis de fausses demandes en utilisant une application de messagerie liée à une véritable entité gouvernementale. Les demandes ont été présentées comme des demandes officielles, et Revolut a remis les enregistrements avant de déterminer qu'ils étaient frauduleux. Usurper un canal officiel pour tromper une organisation et la pousser à remettre des données est un vecteur reconnu d'ingénierie sociale qui ne nécessite aucune compromission de l'infrastructure d'une entreprise.

Le matériel exposé comprenait notamment, selon les rapports, des passeports, des permis de conduire, des images de vérification d'identité et des historiques de transactions. Des informations supplémentaires dans certains enregistrements étaient liées aux transactions en cryptomonnaies des clients. Contrairement à un mot de passe compromis, les documents d'identité ne peuvent pas être réinitialisés, c'est pourquoi le matériel de vérification divulgué peut conserver sa valeur pour les criminels bien au-delà de l'incident immédiat.

Revolut a déclaré avoir bloqué l'adresse en question et informé l'organisme gouvernemental compétent, les forces de l'ordre et le régulateur.

Les avoirs en cryptomonnaies ont aidé les attaquants à choisir leurs cibles

L'utilisation présumée de l'analyse de la blockchain introduit un élément cryptographique distinctif dans cette fuite de données. Les pirates auraient étudié les transactions blockchain pour déterminer quels utilisateurs de Revolut étaient soupçonnés de détenir d'importants avoirs en cryptomonnaies.

Bien qu'une blockchain publique puisse montrer l'activité des portefeuilles et les flux de transactions, il faut généralement beaucoup plus d'informations provenant d'un échange ou d'un service financier pour relier une adresse blockchain à une personne spécifique. Dans ce cas, la combinaison des données de transactions blockchain et des enregistrements clients volés pourrait fournir à un attaquant une image claire de l'identité d'un utilisateur et de ses actifs cryptographiques. Les détails concernant la sélection des cibles n'ont pas été vérifiés par d'autres sources. Cet épisode illustre pourquoi les plateformes d'échange et les entreprises fintech considèrent l'association des enregistrements d'identité avec l'activité on-chain comme l'une des données les plus sensibles qu'elles détiennentn

Revolut rejette tout contact direct concernant la rançon

Il existe un décalage entre ce que les attaquants ont annoncé et ce que Revolut a rapporté. L'entreprise a déclaré n'avoir reçu aucun contact direct du groupe revendiquant la responsabilité et ne pas avoir l'intention de payer de rançon. Revolut a ajouté que les clients concernés étaient accompagnés et a décrit l'incident comme le résultat d'un schéma externe d'usurpation d'identité.

L'attention se porte désormais sur la question de savoir si le groupe mettra à exécution sa menace une fois le délai écoulé, et sur ce qui ressortira des notifications aux forces de l'ordre et aux régulateurs que Revolut affirme avoir effectuées.

Cette fuite met en évidence une préoccupation spécifique pour les utilisateurs de l'espace crypto : les données d'identité personnelles, lorsqu'elles sont fusionnées avec des détails financiers liés à la blockchain, peuvent être particulièrement utiles aux criminels. Ces informations peuvent être exploitées pour du phishing ciblé, l'usurpation d'identité ou d'autres tentatives d'accès aux actifs numériques.