Le site d'extorsion lié à la violation de données de Revolut démasqué par des chercheurs

Les retombées de la violation de données de Revolut ont pris un nouveau tournant après que la société de renseignement sur les menaces KELA a publié des recherches retraçant le site d'extorsion utilisé pour faire pression sur l'entreprise fintech afin qu'elle paie les attaquants. Selon les conclusions de KELA, le site était hébergé sur une infrastructure publique gratuite et assemblé en seulement 6,5 heures. Plus notable encore : les fichiers que les attaquants croyaient avoir supprimés étaient encore récupérables grâce à l'historique public des commits du site, un détail qui offre aux défenseurs et aux chercheurs un rare aperçu de la mécanique d'une campagne d'extorsion moderne.

Cette découverte est importante car elle montre que les criminels derrière l'incident Revolut n'ont pas bâti une opération sophistiquée et durcie. Ils se sont plutôt appuyés sur des outils rapides et gratuits, et ce faisant, ils ont laissé une trace que les chercheurs ont pu suivre. Pour une violation qui a déjà suscité des interrogations sur la manière dont les attaquants ont obtenu les données clients au départ, ce second chapitre offre un aperçu du caractère improvisé et exposé que peut avoir une infrastructure d'extorsion.

Comment le site d'extorsion a été construit et retracé

L'analyse de KELA a révélé que la page d'extorsion ne reposait pas sur des serveurs personnalisés ni sur une infrastructure spécialisée du dark web. Elle fonctionnait sur un service d'hébergement gratuit et accessible au public, du type que n'importe qui peut souscrire en quelques minutes. La rapidité du déploiement, seulement 6,5 heures du début à la fin, suggère que les attaquants ont privilégié la mise sous pression rapide de Revolut plutôt que la dissimulation soignée de leurs traces.

Cette précipitation a créé une ouverture. Parce que le site reposait sur un historique public des commits (l'enregistrement des modifications apportées au code ou au contenu sous-jacent du site), les chercheurs ont pu remonter à des versions de la page que les attaquants avaient tenté de supprimer. Les fichiers supprimés du site en ligne n'avaient pas réellement disparu ; ils restaient visibles dans les journaux d'historique, donnant à KELA un aperçu de l'évolution de la page d'extorsion et du contenu que les attaquants avaient initialement inclus avant de l'effacer.

Ce type de défaillance en matière de sécurité opérationnelle n'est pas inhabituel dans la cybercriminalité. Construire une infrastructure rapidement et à moindre coût est souvent la priorité des groupes d'extorsion qui cherchent à frapper pendant qu'une violation fait encore l'actualité, mais cette rapidité se fait fréquemment au prix de traces numériques laissées derrière eux.

Relier le site d'extorsion à la violation initiale

Le site d'extorsion n'est pas apparu de nulle part. Il a suivi la divulgation par Revolut que des données clients sensibles avaient été exposées après que l'entreprise a été trompée par une fausse demande gouvernementale, ce qui a conduit à la remise de passeports et d'informations personnelles à un tiers non autorisé. Cet incident antérieur a préparé le terrain à la tentative d'extorsion : une fois les données clients en main, les attaquants se sont employés à construire un site de pression visant à forcer Revolut à payer.

Cette séquence, une ruse d'ingénierie sociale suivie d'une exposition de données puis d'une extorsion, reflète un schéma courant dans la cybercriminalité à motivation financière. Les attaquants ont rarement besoin d'outils très avancés pour réussir. Une fausse demande convaincante a suffi à faire divulguer des données sensibles, et quelques heures sur un hébergement gratuit ont suffi à lancer ensuite une campagne de pression publique.

Ce que cela signifie pour vous

Si vous êtes client de Revolut, le risque pratique lié à ce site d'extorsion spécifique concerne moins les détails d'hébergement que les données qui ont pu y être incluses. Les pages d'extorsion liées à des violations comme celle-ci font souvent référence à des informations volées, voire les prévisualisent, notamment des numéros de passeport et des détails de compte, à titre de levier. Le fait que les chercheurs aient pu récupérer des fichiers supprimés de l'historique du site signifie également que le contenu que les attaquants ont tenté de cacher, y compris potentiellement des échantillons des données divulguées, peut encore être documenté et analysé par les chercheurs en sécurité.

Pour les utilisateurs ordinaires, cela renforce une leçon plus large sur la violation de données de Revolut : la compromission initiale n'est pas survenue par un piratage technique des systèmes de Revolut, mais par la tromperie. Cela signifie que les conseils habituels concernant la surveillance de vos comptes, la vigilance face aux tentatives d'hameçonnage faisant référence à cette violation et la prudence face aux demandes non sollicitées d'informations personnelles sont particulièrement pertinents en ce moment. Les attaquants qui ont réussi à usurper l'identité d'autorités une fois peuvent tenter des tactiques similaires à nouveau, que ce soit contre Revolut ou directement contre ses clients.

Mesures concrètes à prendre

Si vous utilisez Revolut ou avez été affecté par cette violation, envisagez les étapes suivantes :

  • Surveillez attentivement votre compte Revolut et vos comptes bancaires liés pour toute activité inhabituelle dans les semaines à venir.
  • Soyez sceptique face à toute communication, en particulier les messages au ton urgent, prétendant venir de Revolut, d'agences gouvernementales ou des forces de l'ordre et faisant référence à cet incident.
  • Si votre passeport ou vos documents d'identité faisaient partie des données exposées lors de la divulgation antérieure, envisagez de surveiller les risques d'usurpation d'identité et soyez prudent quant au partage de copies de documents d'identité, sauf en cas d'absolue nécessité.
  • Suivez les mises à jour directement auprès de Revolut plutôt que de vous fier aux liens ou fichiers circulant en lien avec le site d'extorsion, puisque les chercheurs ont montré que le contenu de ces sites peut être manipulé et réapparaître même après avoir été supprimé.

La violation de données de Revolut et ses suites en matière d'extorsion montrent que même des attaquants dotés d'opérations criminelles fonctionnelles peuvent commettre des erreurs élémentaires que les chercheurs peuvent exploiter. Pour les clients, rester vigilant et prudent demeure la meilleure défense pendant que le tableau complet de cet incident continue de se dessiner.