Ce qui s'est réellement passé dans la faille documentaire de Revolut

Quand la plupart des gens entendent « violation de données », ils imaginent des pirates qui craquent des mots de passe, exploitent des failles logicielles ou installent des rançongiciels dans les serveurs d'une entreprise. La violation de données par extorsion chez Revolut n'a rien impliqué de tout cela. Selon les reportages sur l'incident, l'entreprise de technologie financière a divulgué des données clients sensibles après avoir reçu ce qui semblait être une demande gouvernementale légitime. Il n'y a eu aucune intrusion dans les systèmes de Revolut, aucun logiciel malveillant et aucun identifiant volé. Quelqu'un a simplement demandé les informations, en utilisant une demande frauduleuse, et les a obtenues.

Ce qui a suivi ressemblait moins à un piratage technique qu'à un chantage. Les attaquants auraient émis une demande d'extorsion, menaçant de divulguer les données clients volées par étapes si une rançon n'était pas payée. Cette tactique de fuite par étapes est directement tirée du manuel standard des rançongiciels, la même tactique de pression que celle utilisée par les groupes après avoir chiffré les fichiers d'une entreprise. Sauf qu'ici, il n'y a eu aucun chiffrement, aucun rançongiciel et aucune compromission du système. Les données avaient disparu avant même qu'une quelconque « attaque » au sens technique n'ait eu lieu. Pour un compte rendu plus complet du déroulement de la demande frauduleuse, la violation de Revolut impliquant de fausses demandes gouvernementales mérite une lecture plus attentive.

Pourquoi cela ne correspond pas à la définition traditionnelle d'une cyberattaque

C'est précisément pourquoi l'incident a attiré l'attention de l'industrie de l'assurance. Les polices de cyberassurance ont traditionnellement été rédigées autour de l'idée d'un accès technique non autorisé : un pirate franchissant les défenses, un logiciel malveillant s'exécutant sur un réseau ou une vulnérabilité exploitée. Le cas Revolut ne coche aucune de ces cases. Personne ne s'est introduit. Personne n'a déployé de code malveillant. À la place, quelqu'un a exploité la confiance humaine et les processus institutionnels, en se faisant passer pour une autorité gouvernementale afin de convaincre le personnel de Revolut de remettre volontairement des données.

Cette distinction est énorme pour la façon dont les sinistres sont évalués et dont les futures polices seront rédigées. Si une demande d'extorsion et un ensemble de données volées peuvent survenir sans qu'une seule ligne de code malveillant soit exécutée, alors les assureurs doivent reconsidérer ce qui qualifie réellement une « cyberattaque » aux fins de couverture. L'ingénierie sociale, l'usurpation d'identité et la manipulation des processus produisent de plus en plus les mêmes préjudices réels qu'une violation de réseau à part entière, mais sans les empreintes techniques que les assureurs ont historiquement recherchées.

Ce que cela signifie pour la confidentialité financière des clients de la fintech

Pour les clients, les détails techniques de la façon dont leurs données ont été exposées importent moins que le fait qu'elles l'ont été. Qu'une entreprise de technologie financière soit victime d'un groupe de pirates sophistiqué ou soit trompée par une fausse demande convaincante, le résultat pour l'individu est le même : des informations personnelles et financières se retrouvent entre les mains de personnes qui n'ont aucun droit légitime sur elles, potentiellement suivies d'une menace d'extorsion concernant leur divulgation.

Ce cas rappelle que la confidentialité financière ne dépend pas seulement d'un chiffrement robuste ou de pare-feu. Elle dépend aussi des processus internes que les entreprises utilisent pour vérifier qui demande réellement des données, et de la rapidité avec laquelle elles détectent l'échec de ces processus. Les clients n'ont généralement aucune visibilité sur ces contrôles internes, ce qui rend ce type d'incident plus difficile à anticiper et, d'une certaine manière, plus inquiétant qu'un piratage conventionnel. Aucun correctif logiciel qu'un client peut installer n'empêchera quelqu'un d'autre de se faire tromper par une demande gouvernementale frauduleuse.

Mesures pratiques pour protéger vos données après une violation non technique

Même si ce type d'incident ne découle pas d'une vulnérabilité technique, la réponse pour les personnes concernées ressemble à celle de tout autre événement d'exposition de données :

  • Surveillez vos comptes de près pour détecter les connexions, transactions ou tentatives de réinitialisation de mot de passe inhabituelles, en particulier sur le compte de la fintech concernée et tout service financier lié.
  • Soyez sceptique face aux contacts inattendus prétendant venir de votre banque, d'une agence gouvernementale ou d'un fournisseur de technologie financière, surtout s'ils font référence à la violation et vous demandent de « vérifier » des données personnelles.
  • Envisagez de placer une alerte de fraude ou un gel de crédit si des documents d'identité ou des détails financiers faisaient partie des données exposées.
  • Examinez quelles données personnelles vos fournisseurs de technologie financière détiennent réellement et si vous pouvez les limiter ou les mettre à jour, car moins de données stockées signifie moins d'exposition si quelque chose comme cela se reproduit.
  • Suivez les communications officielles de l'entreprise directement plutôt que les liens dans les e-mails ou SMS faisant référence à la violation, car les incidents d'extorsion créent souvent des occasions de phishing ultérieur.

La vue d'ensemble sur la violation de données par extorsion chez Revolut

La violation de données par extorsion chez Revolut est une étude de cas utile précisément parce qu'elle brouille la frontière entre fraude et piratage. Aucun système n'a été compromis, pourtant les données clients ont quand même fini par être exposées et utilisées comme moyen de pression sur l'entreprise. Alors que les assureurs retravaillent leurs définitions de ce qui compte comme un incident cyber, les clients se retrouvent avec une conclusion plus simple : la méthode d'une violation importe moins que la rapidité avec laquelle vous la remarquez et y réagissez. Rester vigilant face aux activités de compte inhabituelles, vérifier les demandes inattendues d'informations personnelles et comprendre quelles données vos fournisseurs financiers détiennent sont les défenses les plus pratiques disponibles actuellement, quelle que soit la façon dont la prochaine violation se produira.