Le responsable présumé du vol des données des clients de Revolut affirme avoir utilisé les systèmes des forces de sécurité italiennes pour envoyer des demandes d'informations à la banque et affirme avoir obtenu 147 Go auprès d'organisations du pays. La connexion italienne n'a pas encore été confirmée par Revolut ou les autorités.
L’affaire Revolut est peut-être bien plus vaste qu’il n’y paraît. Le responsable présumé de l'incident qui a permis d'obtenir des informations sensibles auprès des clients de la banque affirme désormais qu'il avait auparavant compromis des systèmes appartenant aux forces de sécurité italiennes et qu'il les avait utilisés pendant six mois pour envoyer des demandes d'informations à Revolut.
Le cas Revolut s'aggrave
L'information provient d'International Cyber Digest, une publication indépendante spécialisée dans la cybersécurité et la recherche open source (OSINT), qui affirme être en contact direct avec l'attaquant. Les médias diffusent les déclarations et les captures d'écran qu'ils fournissent, leurs publications nous permettent donc de connaître la version présumée du responsable. L'attaquant affirme avoir obtenu 147 Go d'informations du côté italien, y compris des documents internes, des calendriers et des dossiers personnels, et avoir compromis plusieurs services liés aux forces de sécurité.
Si cette version finit par être confirmée, cela aiderait à résoudre l'une des grandes inconnues de l'incident : comment l'attaquant a réussi à envoyer des requêtes Revolut depuis le domaine authentique d'une autorité publique et à contourner les contrôles utilisés par la banque pour vérifier les exigences officielles.
Revolut a reconnu le 12 septembre qu'un tiers non autorisé avait utilisé une adresse appartenant au domaine légitime d'une agence gouvernementale pour soumettre des demandes d'informations frauduleuses. L'entreprise pensait qu'ils étaient authentiques et a transmis certaines données clients. Revolut affirme que les attaquants n'ont pas pénétré ses systèmes bancaires et que les fonds restent en sécurité. Après avoir découvert le canular, il a bloqué l'adresse, contacté l'agence concernée et informé les forces de l'ordre et les régulateurs.
L’entreprise n’a cependant pas identifié publiquement l’agence gouvernementale dont le domaine a été utilisé. Ce silence rend la nouvelle piste italienne particulièrement pertinente.
Une adresse italienne apparaît dans les captures d'écran
International Cyber Digest a publié des images attribuées à l'attaquant qui fournissent des indices sur cette connexion. Dans l'une des captures d'écran, vous pouvez voir une succession de communications associées à l'adresse [email protected]en plus de nombreux fichiers compressés appelés Document Revolut 2.zip, Document Revolut 3.zip, Document Revolut 4.zip et ainsi de suite.
Une autre partie de l'image montre les propriétés d'un dossier nommé Document Revolut 3 : 326 Mo, 688 fichiers et 204 dossiers. Il apparaît également une communication signée Revolut dans laquelle on distingue l'adresse italienne et une autre référence à [email protected]. Les images sont pertinentes car elles concordent avec l'existence d'échanges liés aux demandes d'informations de Revolut, mais elles ne permettent pas de démontrer qui contrôlait les comptes, ce que contiennent les fichiers, ni que les attaquants avaient effectivement pénétré les systèmes de la police italienne.
Données Espagne
Les nouvelles informations introduisent également un dérivé qui affecte directement l'Espagne. L'acteur, identifié par International Cyber Digest comme IAmNotAVillain, affirme que la plus grande quantité d'informations clients Revolut obtenues provient de Suisse et de France, mais maintient que la banque a également fourni des données correspondant à des résidents de nombreux pays.
Parmi eux, il cite l'Espagne, le Portugal, l'Allemagne, l'Italie, Chypre, la Belgique, les Pays-Bas, l'Irlande, l'Autriche, la Pologne, la Suède, la Norvège, la Finlande, le Danemark, la République tchèque, la Roumanie, la Bulgarie, la Grèce, Malte, l'Estonie, la Croatie, la Slovaquie, la Lettonie, la Lituanie, la Hongrie, la Turquie, Monaco, le Luxembourg, le Royaume-Uni, les Bahamas et la Slovénie.
Pour l’instant, il n’existe aucune confirmation indépendante de cette liste et on ne peut pas non plus affirmer qu’il y ait des clients espagnols concernés. Revolut s'est limité à souligner que l'incident a touché un groupe très limité de clients. Il n'a pas rendu public le nombre total ni sa répartition géographique. Un porte-parole de Revolut a confirmé à Infosecurity Magazine le 14 septembre que les demandes frauduleuses disposaient d'une authentification technique valide du domaine et que les employés de l'entreprise les traitaient comme des demandes de conformité légale ordinaires.
L'affaire ne tourne plus uniquement autour de Revolut
Jusqu’à présent, l’accent a été principalement mis sur les raisons pour lesquelles Revolut remettait des passeports, des photos de vérification, des informations bancaires et des historiques de transactions après avoir reçu des demandes qui se sont révélées frauduleuses. La version publiée ouvre désormais un autre front : comment l'attaquant a réussi à opérer à partir du domaine d'une autorité publique.
S’il est finalement prouvé qu’une infrastructure appartenant à des organisations italiennes est à l’origine de tout cela et qu’elle est restée compromise pendant des mois, Revolut pourrait n’être qu’une des conséquences d’un incident de sécurité bien plus important.
Mais cette partie de l’histoire reste à prouver. À l'heure actuelle, nous savons que Revolut a reçu des demandes frauduleuses provenant d'un domaine d'agence gouvernementale légitime et a soumis des informations les croyant authentiques.
Nous savons également que l’agresseur présumé pointe désormais du doigt l’Italie et montre des éléments qui prétendent étayer son récit. Ce qui manque encore, c'est que les autorités italiennes identifient l'organisation concernée et confirment si quelqu'un a effectivement réussi à utiliser son infrastructure pour demander des informations privées aux citoyens de Revolut pendant des mois.