Revolut a divulgué des informations sensibles de clients après avoir traité une demande d’hameçonnage comme une communication légitime d’un organisme gouvernemental, selon CryptoNinjas.

Les informations exposées comprenaient notamment des copies de passeports et de permis de conduire, des selfies de vérification, l’historique complet des transactions Bitcoin et des adresses personnelles. L’enquêteur spécialisé dans la blockchain ZachXBT a déclaré que l’incident semblait limité par son ampleur, mais pourrait avoir ciblé des utilisateurs de cryptomonnaies fortunés.

L’incident a reçu une note utilisateur de 8.7. Il met en évidence les risques liés au recours à des contrôles de sécurité fondés sur la confiance lorsqu’une demande semble provenir d’une adresse e-mail officielle d’un gouvernement.

Revolut a traité la demande frauduleuse comme une demande officielle

Un avis adressé aux clients indiquait que Revolut avait reçu une demande émanant d’un organisme gouvernemental valide et prétendant contenir des informations sur des clients. La demande avait été envoyée depuis une adresse e-mail non autorisée du domaine officiel de l’agence, mais comportait des identifiants d’authentification de domaine valides. Revolut a donc traité la communication comme une demande gouvernementale authentique et divulgué des informations client avant de découvrir qu’elle était frauduleuse.

Les données divulguées relevaient de plusieurs catégories, notamment les informations personnelles, les coordonnées, les données d’identité et les informations financières. Selon l’avis, elles comprenaient les noms complets des clients, leurs adresses postales, leurs adresses e-mail, leurs dates de naissance, leurs professions et leurs numéros de téléphone.

L’historique des transactions Bitcoin figure parmi les données exposées

Les informations financières revêtent une importance particulière pour les utilisateurs de cryptomonnaies. Revolut a indiqué que les documents divulgués contenaient des relevés de compte, des IBAN, le statut des comptes, des numéros de référence de portefeuille, l’historique des retraits et l’intégralité des enregistrements de transactions, y compris les transactions Bitcoin.

Les données comprenaient également des documents d’identité ainsi que des informations destinées à accompagner des photographies et des copies de passeports ou de permis de conduire. Revolut a précisé que les données de télémétrie faciale biométrique n’étaient pas incluses.

Cette divulgation pourrait établir un lien entre les identités réelles et l’activité liée aux cryptomonnaies. Les documents d’identité, les adresses et les numéros de téléphone sont généralement stockés off-chain, tandis que les transactions Bitcoin sont enregistrées publiquement on-chain. Cette distinction signifie que l’incident concernait des informations détenues par une plateforme financière, et non une modification des relevés de transactions ou de la sécurité du réseau Bitcoin.

ZachXBT alerte sur un possible ciblage d’utilisateurs fortunés

ZachXBT a attiré davantage l’attention sur l’incident dans une alerte publiée sur la communauté Telegram. Il a déclaré que le nombre d’utilisateurs concernés était probablement limité, tout en suggérant que l’incident semblait viser des personnes fortunées.

Pour les utilisateurs ayant une activité Bitcoin importante sur leurs comptes Revolut, le rapprochement des données de transaction avec les informations d’identité et de localisation pourrait fournir aux attaquants un profil détaillé de leur historique financier et on-chain.

Après avoir découvert la fraude, Revolut a informé les personnes concernées. L’entreprise a également déclaré que l’incident n’était pas lié au vol de fonds appartenant à des clients. La réponse rapportée portait donc sur l’exposition d’informations de compte et d’identité, tandis que l’avis disponible ne faisait état d’aucune perte d’actifs appartenant aux clients.

Cette affaire illustre une forme de risque de sécurité dans les cryptomonnaies qui ne nécessite pas qu’un attaquant compromette une blockchain ou obtienne une clé privée. L’accès à des informations off-chain reliant un utilisateur de Bitcoin à son activité peut également créer des risques importants pour les détenteurs de Bitcoin.