Ce qui s'est passé dans la fuite de données Revolut

Revolut a confirmé qu'un escroc se faisant passer pour une agence gouvernementale a convaincu la fintech de remettre des dossiers clients sensibles. Selon les informations rapportées sur l'incident, l'attaquant a utilisé un domaine de messagerie gouvernemental légitime pour envoyer ce qui ressemblait à une demande officielle de données, et les systèmes de Revolut y ont répondu comme s'il s'agissait d'une demande authentique. Près de 700 clients ont été affectés, et les données transmises comprenaient, selon les informations disponibles, des détails de passeport, des selfies, des adresses personnelles et électroniques, des numéros de téléphone, des dates de naissance, et dans certains cas des historiques de comptes bancaires et de transactions, y compris l'activité liée au bitcoin.

Aucun logiciel malveillant n'était impliqué et aucune vulnérabilité logicielle n'a été exploitée. La violation s'est produite parce qu'un canal de communication de confiance, une adresse électronique gouvernementale d'apparence officielle, a été abusé pour demander des informations qu'un examinateur humain a approuvées. Il s'agit d'une défaillance de processus autant que d'une défaillance technique, et il vaut la peine de lire notre rapport précédent sur le faux e-mail gouvernemental à l'origine de cette violation pour plus de détails sur la façon dont l'usurpation d'identité s'est déroulée.

Pourquoi cette violation est différente : identité, localisation et argent dans un seul fichier

La plupart des notifications de violation énumèrent les catégories de données exposées sous forme de puces : nom, e-mail, numéro de téléphone, adresse. Pris séparément, chaque élément semble gérable. Mais lorsqu'une seule notification regroupe un document d'identité vérifié, une photo, une adresse personnelle, des détails de compte financier et un historique de transactions pour la même personne, cela cesse de ressembler à une liste pour ressembler à un dossier.

Cette combinaison est importante car elle élimine les conjectures qui protègent habituellement les gens contre les escroqueries convaincantes. Un criminel qui connaît déjà votre nom légal, votre visage, votre adresse et votre solde bancaire n'a pas besoin de hameçonner à nouveau ces informations. Il peut les utiliser pour paraître crédible lors d'un appel téléphonique, pour passer les contrôles d'identité dans d'autres institutions, ou pour élaborer un message ciblé qui fait référence à des détails réels concernant vos finances. C'est ce qui rend l'incident Revolut notable parmi les récentes violations de fintechs : il ne s'agit pas simplement d'une fuite d'informations de contact, c'est une fuite des points de données exacts utilisés pour vérifier qui vous êtes.

Ce que cela signifie pour vous

Si vous êtes client de Revolut, ou client de n'importe quelle application financière, le risque pratique de ce type de violation de données Revolut n'est pas que votre compte sera vidé demain. C'est que les données volées referont surface plus tard, dans un e-mail de hameçonnage qui aura correctement votre nom et votre adresse, dans un appel téléphonique de quelqu'un se prétendant être votre banque qui connaît déjà votre solde, ou dans une tentative d'ouvrir de nouveaux comptes ou cartes SIM en votre nom.

Aucun VPN, gestionnaire de mots de passe ou outil de confidentialité ne peut annuler une exposition qui a déjà eu lieu. Une fois qu'une entreprise a remis votre scan de passeport et vos détails financiers à un attaquant, ces données échappent à votre contrôle, quelles que soient les habitudes de sécurité que vous adoptez par la suite. Ce que ces outils peuvent faire, c'est réduire votre exposition à l'avenir : limiter la quantité de données personnelles que vous partagez avec un seul service, rendre plus difficile pour les attaquants de relier votre activité en ligne à votre identité réelle, et réduire le nombre d'endroits où une erreur similaire pourrait vous exposer à nouveau.

Mesures concrètes pour vous protéger dès maintenant

Si vous pensez que vos données ont pu faire partie de cette violation, ou si vous souhaitez simplement être préparé, quelques étapes concrètes font une réelle différence :

  • Contactez votre banque au sujet de la protection contre le SIM-swap. Étant donné que les attaquants disposant de votre nom, de votre adresse et de votre numéro de téléphone peuvent tenter de détourner votre numéro mobile, demandez à votre opérateur d'ajouter un code PIN ou un verrou pour empêcher les transferts de SIM non autorisés.
  • Mettez en place une surveillance de crédit ou une alerte de fraude. Avec des données de passeport et d'identité en circulation, la surveillance de votre dossier de crédit aide à détecter les nouveaux comptes ouverts en votre nom avant qu'ils ne causent des dommages durables.
  • Soyez sceptique face à tout contact qui fait référence à vos détails financiers. Un appelant ou un expéditeur d'e-mail qui connaît votre solde ou votre historique de transactions n'est pas automatiquement légitime. Vérifiez par les canaux officiels avant de répondre.
  • Changez vos mots de passe et activez l'authentification multifacteur sur votre compte Revolut et tout service financier lié, même si cette violation n'a pas été causée par un mot de passe volé.
  • Surveillez les tentatives de hameçonnage ultérieures qui utilisent les détails divulgués pour paraître crédibles. Les escrocs attendent souvent des semaines ou des mois avant d'utiliser les données compromises, la vigilance doit donc se poursuivre dans le temps.

Pour aller de l'avant

La violation de données Revolut est un rappel que les systèmes de vérification d'identité, et pas seulement les mots de passe, sont désormais une cible principale pour les attaquants. Convaincre le propre processus d'une entreprise de remettre des données peut être plus efficace que n'importe quel piratage. Pour les utilisateurs au quotidien, la conclusion n'est pas la panique mais la préparation : verrouillez les comptes que vous contrôlez, surveillez les signes d'utilisation abusive, et traitez tout contact non sollicité faisant référence à vos détails financiers avec une prudence accrue. Rester informé de la façon dont ces violations se déroulent est la première étape pour limiter les dommages que la prochaine pourrait causer.