Des hackers revendiquant la responsabilité d'une fuite de données chez Revolut, l'une des plus grandes entreprises de technologie financière du Royaume-Uni, ont exigé une rançon de 3 millions de dollars en Monero et menacé de vendre des informations sensibles appartenant à des centaines de clients, selon des rapports, bien que la banque numérique ait déclaré n'avoir reçu aucune demande de rançon directe.

Le groupe, se faisant appeler « iamnotavillain », aurait donné à Revolut 24 heures pour payer 6 000 tokens Monero, d'une valeur d'environ 3 millions de dollars, faute de quoi il vendrait les informations volées à d'autres groupes criminels. L'ultimatum a été publié en ligne accompagné d'un compte à rebours, selon le Financial Times.

La demande reflète la conception axée sur la confidentialité de Monero. Chaque transaction Monero génère une adresse aléatoire à usage unique, de sorte que des tiers ne peuvent pas lier les paiements au portefeuille public d'un utilisateur spécifique — une caractéristique qui distingue la monnaie des blockchains publiques pseudonymes telles que Bitcoin et qui en a fait un choix récurrent dans les demandes d'extorsion.

La fuite aurait touché environ 680 clients, tandis que l'infrastructure principale, les bases de données et les comptes clients de Revolut n'ont pas été piratés, selon une source familiarisée avec le dossier.

L'entreprise a déclaré que des informations sensibles sur les clients avaient été divulguées à un tiers non autorisé après que des attaquants ont soumis des demandes frauduleuses en utilisant le domaine e-mail d'un organisme gouvernemental légitime. Les informations volées comprendraient des documents d'identité et d'autres dossiers clients sensibles d'au moins 680 clients de Revolut.

Les hackers affirment avoir choisi leurs cibles en utilisant l'analyse de blockchain — l'examen des données de transactions enregistrées publiquement retracer l'activité des portefeuilles — afin d'identifier les comptes Revolut détenant d'importantes avoirs en crypto.

Revolut a déclaré n'avoir eu aucun contact direct avec les attaquants présumés et n'avoir reçu aucune demande de rançon, ajoutant une couche d'incertitude supplémentaire aux revendications d'extorsion.

L'incident met en évidence un risque croissant de cybersécurité pour les plateformes financières et crypto, où les attaquants n'ont pas besoin de pénétrer les systèmes bancaires principaux si des attaques d'ingénierie sociale — qui reposent sur la tromperie des personnes et l'exploitation de processus légitimes plutôt que sur la rupture de défenses techniques — peuvent être utilisées pour obtenir des données clients sensibles via des canaux de confiance. Les documents d'identité sont régulièrement utilisés pour vérifier les clients dans les services financiers, ce qui en fait l'un des types de données personnelles les plus sensibles qu'une fuite puisse exposer. Au Royaume-Uni, les organisations doivent informer l'Information Commissioner's Office dans les 72 heures suivant la découverte d'une fuite de données personnelles susceptible de présenter un risque pour les individus.