Les pirates qui ont escroqué Revolut réclament désormais 6 000 XMR

Selon les pirates informatiques s'étant exprimés en exclusivité auprès du Financial Times (FT), Revolut n'a pas perdu de données clients parce que les pirates auraient piraté ses serveurs. Les attaquants les ont simplement demandées. Se faisant passer pour des forces de l'ordre italiennes pendant des mois et utilisant un système de messagerie électronique gouvernemental légitime, un groupe se faisant appeler « iamnotavillain » a passé des mois à demander des fichiers concernant des utilisateurs spécifiques de cryptomonnaies. Les déclarations des pirates ont été faites aux journalistes du FT Tom Wilson, Laith Al-Khalaf et Amy Kazmin au cours d’une « série de messages ». Revolut aurait accédé à ces demandes, en envoyant des documents comprenant des passeports, des selfies et des historiques de transactions. Aujourd’hui, le groupe affirme détenir des données sur environ 680 personnes et réclame 6 000 monero (XMR), soit environ 3 millions de dollars, tandis qu’un compte à rebours public menace de transmettre ces fichiers d’identité à d’autres criminels.

Ils ne se sont pas introduits par effraction. Ils ont simplement demandé

La fuite de données chez Revolut aurait été rendue possible par le fait que les attaquants auraient utilisé le système italien Posta Elettronica Certificata (PEC), un réseau de messagerie électronique certifiée utilisé pour les communications juridiques et administratives. Les messages envoyés via ce canal compromis comportaient de véritables identifiants d’authentification de domaine ; Revolut a donc reçu des e-mails qui semblaient provenir d’une véritable autorité gouvernementale.

C’était là le piège. L’authentification pouvait montrer qu’un e-mail provenait d’un domaine légitime, mais elle ne pouvait pas prouver que la personne derrière le compte était bel et bien un fonctionnaire habilité. Au lieu de contourner les systèmes de sécurité de Revolut, les attaquants affirment avoir exploité le processus conçu pour traiter les demandes légitimes des autorités.

Les victimes ont d’abord été sélectionnées

Il ne s’agissait pas d’un vol de données aléatoire. Le groupe affirme avoir utilisé l’analyse on-chain pour identifier les utilisateurs de Revolut présentant une activité importante en matière de cryptomonnaies, puis avoir demandé des informations sur ces personnes en les nommant explicitement. Selon l’article du Financial Times, le groupe visé comptait environ 680 personnes utilisant la plateforme dans 31 pays, dont un grand nombre en Suisse et en France.

Les fichiers auraient contenu des noms, des adresses, des numéros de téléphone, des identifiants de compte, des dépôts et retraits de cryptomonnaies, des virements en monnaie fiduciaire, des documents KYC et des selfies de vérification. En clair, le groupe ne se contentait pas de collecter des coordonnées de base. Il constituait des dossiers d’identité détaillés sur des personnes qu’il jugeait intéressantes à cibler.

Puis vint la demande de Monero

Le 16 septembre, Iamnotavillain a publié un ultimatum public sur un site web portant ce nom, exigeant 6 000 XMR, soit environ 3 millions de dollars, dans les 24 heures, sous peine de voir les fichiers volés vendus à d’autres groupes criminels. Une demande antérieure de 10 000 bitcoins (BTC) avait circulé sur Telegram, mais le groupe a par la suite attribué ce chiffre à un imposteur ou à un ancien associé.

Pour de nombreux observateurs, le passage au Monero (XMR) est logique dans le cadre d’une demande d’extorsion. Les transactions en bitcoins sont visibles sur un registre public, tandis que le XMR est conçu pour masquer les détails des transactions. Revolut a quant à elle déclaré à la presse n’avoir reçu aucune demande directe de la part des personnes revendiquant la responsabilité de l’attaque lorsque le compte à rebours est apparu, ce qui fait de ce compte à rebours autant une campagne de pression publique qu’une négociation.

Revolut affirme que ses systèmes et les fonds de ses clients n’ont pas été affectés. Les criminels n’auraient apparemment pas pénétré le réseau central de l’entreprise ni vidé les comptes des clients. Selon les informations disponibles, ils auraient persuadé Revolut de leur remettre des informations par le biais de ce qui semblait être des demandes officielles légitimes.

Cela ne rend pas pour autant les données volées inoffensives. Un passeport, un selfie, une adresse personnelle, un numéro de téléphone et l’historique des transactions peuvent servir à commettre des usurpations d’identité, des réinitialisations de compte, de faux appels au service client et des attaques en chaîne contre d’autres services financiers. Le véritable danger ne réside pas seulement dans ce qui a été dérobé à Revolut, mais dans ce que ces fichiers pourraient permettre de débloquer ailleurs.

Le problème majeur réside dans le canal de confiance KYC

Revolut a déclaré à TechCrunch le 12 septembre avoir identifié l’arnaque par usurpation d’identité, bloqué l’adresse et averti l’agence concernée, les forces de l’ordre et les autorités de régulation. Les enquêteurs examinent actuellement comment un canal de communication gouvernemental légitime a pu être intégré à l’opération.

Cela soulève une question dérangeante qui dépasse le cadre de la société de monnaie numérique elle-même. Si une seule boîte mail gouvernementale compromise a pu générer des mois de demandes d’informations convaincantes, d’autres institutions du secteur des cryptomonnaies ont peut-être reçu des messages similaires. Les attaquants n’ont pas forcé le coffre-fort. Ils se sont fait passer pour des personnes légalement autorisées à demander son ouverture.