La fintech Revolut a transmis des données clients après avoir accepté une demande gouvernementale qui s’est ensuite révélée fausse, selon les informations rapportées sur l’incident. Cette affaire illustre la manière dont des criminels peuvent usurper l’identité d’une agence officielle et convaincre une entreprise de divulguer des données personnelles sensibles.

Ce qui s’est passé

Revolut a divulgué des données clients après avoir considéré une demande frauduleuse comme légitime. Selon un article de CryptoSlate, la demande était conçue pour donner l’impression d’avoir été émise par un organisme gouvernemental.

Les éléments disponibles ne permettent pas de confirmer la date exacte de l’incident ni la juridiction concernée. Ils ne précisent pas non plus tous les types de données qui ont été divulgués. Le nombre de clients affectés et l’ampleur totale de l’impact restent inconnus.

Revolut s’est rapidement développée ces dernières années, notamment avec le déploiement d’un stablecoin en euros dans l’Union européenne. Cette croissance fait de la protection des informations clients un enjeu important pour une large base d’utilisateurs.

Des questions subsistent sur la vérification

La question centrale concerne la manière dont la demande a été vérifiée. Bien que la demande ait été frauduleuse, elle a été acceptée, ce qui indique une faille dans le processus utilisé pour authentifier ce type de requête. L’usurpation de l’identité des forces de l’ordre ou d’agences gouvernementales pour obtenir des données d’utilisateurs est une tactique connue.

Le Federal Bureau of Investigation (FBI) des États-Unis a mis en garde contre les « demandes urgentes de données » frauduleuses envoyées à des entreprises par des criminels se faisant passer pour des responsables officiels. Son alerte de sécurité publique est disponible sur ic3.gov.

Les éléments disponibles n’expliquent pas par quel canal la fausse demande a été soumise. Ils ne décrivent pas non plus les vérifications effectuées par Revolut avant la transmission des données. Par conséquent, la défaillance précise du processus n’a pas été confirmée.

L’impact sur les clients et la réponse de l’entreprise ne sont pas vérifiés

Les éléments disponibles indiquent que des données ont été transmises, mais ils ne fournissent pas de chiffre vérifié concernant le nombre de clients affectés. La nature exacte des documents divulgués n’a pas non plus été établie.

Aucune déclaration confirmée de l’entreprise, notification aux clients ou plan de remédiation ne figure dans les éléments disponibles. L’ampleur des éventuels préjudices subis par les clients ne peut donc pas encore être déterminée avec certitude.

Pour les utilisateurs de Revolut, la réponse pratique consiste à rester attentifs à toute activité inhabituelle sur leur compte et aux tentatives d’hameçonnage. Des documents d’identité divulgués peuvent être réutilisés dans le cadre d’escroqueries ultérieures. Revolut poursuit également ses ambitions bancaires, notamment après avoir obtenu une approbation conditionnelle pour une licence bancaire américaine en 2027, ce qui renforce l’importance des mesures de protection de ses données clients.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Les lecteurs doivent effectuer leurs propres recherches avant de prendre des décisions.