Revolut dément avoir été contacté par un pirate informatique au sujet d'une demande de rançon de 3 millions de dollars

Aucune demande directe reçue, selon Revolut

Revolut a déclaré n’avoir reçu aucun contact direct ni aucune demande de la part d’un groupe revendiquant la responsabilité d’une récente fuite de données. Le démenti de la société fintech est intervenu moins de 24 heures après la publication d’informations selon lesquelles des pirates auraient exigé 6 000 XMR, d’une valeur de 3 millions de dollars, pour empêcher la mise sur le marché des fichiers clients consultés illégalement.

La société de fintech basée à Londres a confirmé en début de mois qu’un tiers non autorisé avait obtenu des informations sensibles appartenant à un nombre limité de clients en utilisant le domaine de messagerie d’une agence gouvernementale légitime pour soumettre des demandes de données frauduleuses. Des déclarations publiques publiées en ligne cette semaine par un pirate informatique opérant sous le pseudonyme « IAmNotAVillain » menaçaient de divulguer ou de vendre les données des clients à moins que Revolut ne s’acquitte de cette somme.

« Revolut n’a reçu aucun contact direct ni aucune demande de la part des individus ou du groupe à l’origine de ces revendications », aurait déclaré un porte-parole de l’entreprise. Cette violation, qui aurait visé environ 680 clients fortunés à travers l’Europe, n’a pas impliqué d’intrusion technique directe dans les systèmes centraux de Revolut.

Les attaquants ont plutôt eu recours à l’ingénierie sociale pour se faire passer pour des autorités gouvernementales pendant plusieurs mois, obtenant ainsi des fichiers de vérification des clients, des documents d’identité et des relevés de transactions. Revolut a souligné que les fonds des clients et ses systèmes internes restaient sécurisés et n’étaient pas affectés. L’entreprise a indiqué avoir bloqué l’adresse e-mail frauduleuse dès la découverte de la violation et avoir signalé l’incident aux forces de l’ordre, aux autorités chargées de la protection des données et aux régulateurs financiers.

Un analyste met en garde contre les vulnérabilités du processus KYC

Cet incident met en lumière des vulnérabilités systémiques plus générales dans la manière dont les institutions financières traitent les données d’identité obligatoires. Jonathan Riss, analyste spécialisé dans l’open source et la blockchain au sein de la société de sécurité Certik, a fait valoir que la cause profonde va au-delà des défenses des entreprises individuelles pour toucher les exigences réglementaires elles-mêmes.

« Le véritable problème est que le KYC a créé une couche d’identité extrêmement sensible que les plateformes financières sont tenues de maintenir, souvent parce que les gouvernements et les régulateurs exigent des informations de plus en plus détaillées sur les clients », a déclaré M. Riss. « La responsabilité n’incombe donc pas uniquement aux banques, aux fintechs ou aux plateformes d’échange de cryptomonnaies. »

Selon M. Riss, les pouvoirs publics doivent également se demander si chaque élément d’information qu’ils exigent est véritablement nécessaire et pendant combien de temps il doit être conservé. Ils devraient vérifier si les procédures existantes de demande de données clients sont suffisamment sécurisées.

M. Riss a par ailleurs souligné que la divulgation de fichiers d’identité détaillés peut entraîner des risques concrets accrus dans le secteur des actifs numériques. « Les plateformes doivent tout de même réduire au minimum la durée de conservation, restreindre l’accès et renforcer l’authentification des demandes émanant des pouvoirs publics et des forces de l’ordre par le biais de canaux de vérification indépendants », a ajouté M. Riss.

Alors que le débat sur les tactiques des pirates informatiques se poursuivra, M. Riss estime que cet incident devrait inciter le secteur et les régulateurs à repenser le modèle actuel. L’objectif ne devrait plus se limiter à la protection des portefeuilles et des fonds ; il devrait également inclure la protection de l’identité financière des utilisateurs.