- Les pirates exigent 6 000 XMR, d'une valeur d'environ 3 millions de dollars.
- L'ultimatum public donne à Revolut 24 heures pour payer.
- Environ 680 clients auraient été concernés.
- Les régulateurs britanniques examinent l'incident.
Les pirates prétendant avoir accès aux données des clients de Revolut ont exigé 6 000 Monero d'une valeur d'environ 3 millions de dollars, menaçant de vendre les informations à d'autres groupes criminels si la fintech ne payait pas dans les 24 heures.
Un groupe se faisant appeler «iamnotavillain» publié la demande sur un site Web avec un compte à rebours.
Revolut a déclaré jeudi n'avoir reçu aucun contact direct ni demande de rançon de la part des auteurs des réclamations, ce qui signifie que l'ultimatum reste une tentative d'extorsion publique plutôt qu'une demande adressée en privé à l'entreprise.
L'incident fait l'objet d'un examen plus approfondi car les attaquants n'avaient pas besoin de compromettre l'infrastructure bancaire de Revolut. Des informations sensibles ont été divulguées après l'arrivée de demandes frauduleuses via un domaine de messagerie gouvernemental légitime, révélant une faiblesse dans la manière dont les demandes privilégiées de données client sont authentifiées.
Ce que Revolut a confirmé
Revolut confirmé le 12 septembre qu'une partie non autorisée a utilisé le domaine de messagerie légitime d'une agence gouvernementale pour soumettre des demandes d'informations frauduleuses. La société a bloqué l'adresse après avoir détecté l'activité et alerté l'agence gouvernementale compétente, les forces de l'ordre et les régulateurs.
Les notifications des clients examinées par TechCrunch ont montré que les informations exposées pouvaient inclure des dates de naissance, des adresses postales et électroniques, des numéros de téléphone et des copies de documents d'identité tels que des passeports et des permis de conduire. Des selfies de vérification, des relevés de compte et des historiques de transactions peuvent également avoir été divulgués.
Revolut affirme que ses systèmes et les fonds de ses clients n'ont pas été affectés. L'entreprise n'a pas confirmé publiquement le nombre précis de victimes, qualifiant la population touchée de limitée. Le Financial Times a rapporté qu'environ 680 comptes clients étaient impliqués.
La réponse réglementaire est déjà en cours. Le bureau du commissaire à l'information du Royaume-Uni enquête sur l'incident, tandis que la société de cybersécurité Kodex a indiqué que la Financial Conduct Authority avait également confirmé une enquête.
Comment les demandes gouvernementales frauduleuses peuvent exposer les données des clients
L'attaque visait un processus conçu pour permettre aux institutions financières de répondre aux demandes légitimes des forces de l'ordre et des agences gouvernementales.
Selon la notification de Revolut, les demandes frauduleuses contenaient des informations d'authentification de domaine valides. Cela peut établir qu'un e-mail provient d'un domaine autorisé, mais cela ne prouve pas nécessairement que la personne contrôlant le compte est un fonctionnaire légitime habilité à demander l'information.
Le fondateur de Kodex et ancien responsable du FBI, Matt Donahue, décrit cette technique comme une compromission des courriers électroniques des forces de l'ordre, ou LEEC. Kodex affirme avoir identifié plus de 5 000 criminels se faisant passer pour les forces de l'ordre pour obtenir des informations sur ses clients.
Ce vecteur d’attaque se situe en dehors des contrôles normalement associés à la prévention d’une intrusion sur le réseau. Les pare-feu, la sécurité des portefeuilles et l’authentification des clients ne résolvent pas le problème si une institution divulgue volontairement des informations après avoir traité une demande légale frauduleuse comme authentique.
La vérification doit donc avoir lieu au niveau de la couche de divulgation. Les spécialistes de la sécurité recommandent de confirmer de manière indépendante l’identité et l’autorité du demandeur plutôt que de considérer la possession d’un compte de messagerie gouvernemental authentifié comme une preuve suffisante.
Les détenteurs de crypto auraient été ciblés
Le Financial Times a rapporté que les attaquants prétendent avoir utilisé l'analyse de la blockchain pour identifier les clients ayant une activité substantielle en matière de crypto-monnaie avant de demander leurs informations. Les clients les plus concernés seraient basés en Suisse et en France, bien que des enregistrements provenant de personnes provenant de dizaines de pays européens soient impliqués.
Si cela est exact, cela rendrait les informations exposées particulièrement sensibles.
Les transactions cryptographiques sur des blockchains transparentes peuvent déjà fournir des indices sur les avoirs et l’activité. Relier ces informations aux enregistrements KYC, aux adresses physiques, aux documents d’identification et aux antécédents financiers peut donner aux criminels un profil beaucoup plus complet d’un individu.
Certains clients concernés ont par conséquent fait part de leurs inquiétudes concernant l’extorsion physique, y compris les attaques dites à clé contre les détenteurs de crypto-monnaie.
Pourquoi les attaquants veulent Monero
La dernière demande remplace une demande antérieure de 10 000 BTC, bien que la responsabilité des revendications concurrentes reste controversée. Kodex a averti que les personnes publiant des échantillons d'informations volées ne peuvent pas automatiquement être considérées comme étant les attaquants originaux, et que la possession d'un échantillon n'établit pas la possession de l'ensemble des données.
Le nouveau groupe demande Monero plutôt que Bitcoin.
Le grand livre de Bitcoin enregistre publiquement les transactions, permettant aux enquêteurs et aux sociétés d'analyse de blockchain de suivre le mouvement des fonds même lorsque l'identité contrôlant une adresse est initialement inconnue.
Monero est spécialement conçu pour masquer les informations sur les transactions. Ses mécanismes de confidentialité rendent l'expéditeur, le destinataire et le montant transféré considérablement plus difficiles à retracer, ce qui explique son attrait pour les paiements d'extorsion ainsi que ses utilisations légitimes en matière de confidentialité.
La demande de 6 000 XMR indiquée dans l'ultimatum public des attaquants était évaluée à environ 3 millions de dollars au moment de son émission.
Ce que les clients Revolut concernés devraient faire
Revolut affirme avoir contacté directement les clients concernés. Par conséquent, un message non sollicité affirmant que quelqu'un a été exposé ne doit pas en soi être traité comme une preuve.
Les clients qui ont reçu une véritable notification de violation doivent considérer leur identité et leurs coordonnées exposées comme potentiellement utilisables pour un phishing ciblé et une fraude à la récupération de compte. Les précautions pratiques incluent le changement des mots de passe réutilisés, l'activation d'une authentification forte à deux facteurs, l'examen de Revolut et d'autres comptes financiers à la recherche d'activités inhabituelles, et une prudence particulière concernant les appels ou les messages faisant référence à de véritables informations personnelles provenant de la violation.
Les détenteurs de crypto doivent également vérifier la sécurité des comptes connectés à leur numéro de téléphone et leur adresse e-mail. Lorsqu'elle est prise en charge par leur opérateur de téléphonie mobile, une protection supplémentaire contre le remplacement non autorisé de la carte SIM peut réduire le risque d'échange de carte SIM. Les comptes Exchange doivent utiliser une authentification résistante au phishing lorsqu'elle est disponible plutôt que de s'appuyer uniquement sur des codes SMS.
Déplacer une cryptomonnaie simplement parce que des informations personnelles ont été exposées n’est pas automatiquement nécessaire, surtout si les clés privées n’ont jamais été compromises. Mais toute personne dont les enregistrements divulgués pourraient relier son identité à d’importants avoirs cryptographiques devrait réévaluer si l’activité du portefeuille public en révèle plus sur ses actifs que prévu.
Plus important encore, les clients ne doivent pas envoyer de cryptomonnaie à quiconque prétendant pouvoir récupérer, supprimer ou protéger les données divulguées. La divulgation elle-même donne aux criminels suffisamment d’informations personnelles authentiques pour rendre les escroqueries ultérieures plus convaincantes.
Le délai de 24 heures ne met pas fin au risque
On ignore si les attaquants ont mis leur menace à exécution. Revolut n'a pas confirmé les affirmations du groupe concernant l'ensemble des données, et des questions demeurent quant à savoir si les extorsionnistes actuels étaient responsables de l'obtention de toutes les informations en premier lieu.
L'enquête réglementaire pose désormais une question de contrôle plus concrète : comment une demande provenant d'un domaine gouvernemental légitime a-t-elle été authentifiée avant que les dossiers clients sensibles ne soient divulgués ?
Pour les sociétés financières qui traitent les demandes d’informations gouvernementales, cette distinction est de plus en plus importante.
Une authentification de courrier électronique valide peut prouver la provenance d'un message. Il ne peut pas, à lui seul, prouver qui gère le compte ou si cette personne a l'autorité légale pour obtenir les données client demandées.