Le géant de la fintech Revolut a confirmé une violation de données ayant exposé des informations sensibles de clients après qu'un employé a considéré comme légitime une demande frauduleuse de quelqu'un se faisant passer pour une agence gouvernementale. L'entreprise a indiqué que des documents d'identité, notamment des passeports et des permis de conduire, ainsi que des coordonnées et des dossiers financiers, ont été partagés avec l'acteur malveillant. Le nombre exact de clients concernés n'a pas été divulgué.

Ce n'est pas la première fois que Revolut doit expliquer comment une tentative d'usurpation d'identité convaincante a contourné ses défenses. Comme indiqué dans notre précédent rapport sur la violation de données de Revolut impliquant un faux courriel gouvernemental, les attaquants ont trouvé à plusieurs reprises le succès en demandant simplement des données tout en se faisant passer pour une figure d'autorité, plutôt qu'en exploitant des vulnérabilités logicielles ou en forçant des mots de passe.

Ce qui s'est passé et pourquoi c'est important

Selon les rapports sur l'incident, la violation ne provenait pas d'un logiciel malveillant, d'un serveur piraté ou d'un mot de passe volé. Au lieu de cela, une personne se faisant passer pour une agence gouvernementale a soumis une demande qui semblait suffisamment officielle pour qu'un employé de Revolut y donne suite. Le résultat a été que les données des clients, y compris des copies de documents d'identité comme des passeports et des permis de conduire, des dates de naissance, des adresses postales et électroniques, ainsi que des détails d'activité financière, ont été remises directement à l'attaquant.

Ce type d'attaque d'ingénierie sociale est particulièrement difficile à contrer avec des outils techniques seuls. Les pare-feu, le chiffrement et l'authentification multifacteur protègent contre de nombreuses menaces, mais ils ne peuvent pas toujours empêcher un être humain de prendre une décision sous pression. Lorsqu'une demande semble officielle, arrive avec le bon formatage ou fait référence à un langage réglementaire réel, même un personnel bien formé peut être trompé.

Pour Revolut en particulier, cet incident met en lumière un problème plus large du secteur. Les applications de fintech demandent régulièrement aux clients de télécharger des photos de passeport, des permis de conduire et d'autres documents d'identité dans le cadre de la vérification Know Your Customer (KYC), une exigence légale conçue pour prévenir la fraude et le blanchiment d'argent. Mais une fois ces données collectées, elles deviennent une cible de grande valeur dans les systèmes d'une entreprise, et leur sécurité dépend entièrement des processus internes, pas seulement de la technologie.

Pourquoi les applications de fintech sont une cible de choix

Les applications financières occupent une position unique dans l'écosystème des données. Elles combinent deux catégories d'informations que les criminels prisent le plus : des documents d'identité vérifiés et une activité financière détaillée. Une simple copie de passeport a de la valeur pour l'usurpation d'identité. Associée à l'historique des transactions d'un client, à son adresse et à sa date de naissance, elle devient une boîte à outils complète pour la fraude, la prise de contrôle de compte ou l'hameçonnage ciblé.

De nombreux utilisateurs n'y réfléchissent pas à deux fois avant de télécharger une photo de passeport ou de lier un compte bancaire à une nouvelle application, surtout lorsque le service promet des avantages comme le change de devises instantané ou le trading de cryptomonnaies. Mais chaque document téléchargé et chaque compte lié élargit ce que l'on appelle parfois l'« empreinte de données » d'une entreprise, la quantité totale d'informations sensibles qu'elle détient et doit protéger. Plus une entreprise collecte, plus les dégâts qu'une seule violation ou qu'un seul employé trompé peut causer.

Cela ne signifie pas que les applications de fintech sont intrinsèquement dangereuses, mais cela signifie que les clients devraient traiter les demandes de vérification d'identité avec la même rigueur qu'ils appliqueraient à toute autre transaction sensible. Toutes les applications n'ont pas besoin du même niveau de documentation, et toutes les entreprises n'ont pas des contrôles internes aussi rigoureux pour traiter les demandes des forces de l'ordre ou des autorités de régulation.

Ce que cela signifie pour vous

Si vous utilisez Revolut ou un service de fintech similaire, il n'y a pas lieu de paniquer, mais il vaut la peine de prendre quelques mesures concrètes. Premièrement, surveillez vos comptes pour détecter toute activité inhabituelle, en particulier si vous avez été informé que vos données pourraient avoir été affectées. Deuxièmement, soyez vigilant face aux tentatives d'hameçonnage de suivi. Les attaquants qui obtiennent des documents d'identité et des coordonnées les utilisent souvent pour élaborer des messages frauduleux convaincants qui font référence à de véritables informations personnelles, les rendant plus difficiles à repérer que les courriels d'hameçonnage génériques.

Plus largement, cet incident rappelle qu'il faut réfléchir de manière critique aux applications auxquelles vous confiez des documents d'identité. Avant de télécharger un passeport ou de lier un compte bancaire, vérifiez si l'entreprise a des antécédents de transparence concernant les incidents de sécurité, si elle offre des contrôles de confidentialité clairs et si le niveau de vérification demandé correspond réellement au service pour lequel vous vous inscrivez. Pratiquer la minimisation des données, ne partager que ce qui est strictement nécessaire et éviter la réutilisation inutile des mêmes documents sur plusieurs plateformes peut également réduire votre exposition si l'une de ces entreprises subit une violation.

L'utilisation d'outils de confidentialité comme un VPN n'empêchera pas une violation du côté de l'entreprise comme celle-ci, puisque l'exposition s'est produite du côté de Revolut, et non via une connexion interceptée. Mais maintenir une bonne hygiène de compte, des mots de passe uniques et des habitudes de partage prudentes reste l'une des meilleures défenses disponibles pour les utilisateurs quotidiens naviguant dans un paysage d'applications financières de plus en plus friand de documents.

Points clés à retenir

Examinez attentivement toute notification de Revolut et surveillez les messages de suivi suspects faisant référence à vos informations personnelles. Envisagez de geler ou de surveiller votre crédit si des copies de passeport ou de documents d'identité étaient impliquées. À l'avenir, remettez en question la raison pour laquelle une application a besoin de certains documents avant de les télécharger, et répartissez votre vérification financière et d'identité sur le moins de plateformes possible. Rester informé d'incidents comme cette violation de données de Revolut est l'un des moyens les plus simples de se protéger dans un environnement où même des entreprises de confiance peuvent tomber dans le piège d'une tentative d'usurpation d'identité convaincante.