Revolut a donné votre passeport à des escrocs — sans qu’il y ait eu de piratage

Revolut n’a pas été piraté. Personne n’a franchi ses pare-feu ni trouvé de faille dans son code. À la place, un attaquant s’est fait passer pour une autorité gouvernementale en utilisant une adresse e-mail portant un domaine officiel légitime, a soumis une demande de divulgation de données que les vérifications de Revolut ont acceptée comme authentique, et est reparti avec des documents d’identité complets, des copies de passeports, des selfies d’onboarding, et l’historique complet des comptes des utilisateurs concernés — y compris chaque transaction Bitcoin enregistrée.

L’attaque a exploité une obligation légale, pas une faille logicielle. Les plateformes financières sont tenues par la loi de répondre aux demandes officielles de données émanant d’organismes gouvernementaux et de forces de l’ordre. En forgeant ces demandes de manière suffisamment convaincante pour passer l’examen de Revolut, l’attaquant a transformé un processus de conformité conçu pour protéger le public en mécanisme de vol de données. Revolut a déclaré avoir tenté indépendamment de valider la demande auprès de l’autorité concernée, mais l’usurpation n’a été découverte qu’après que les données aient déjà été partagées.

Pour toute personne dont le compte était inclus, l’exposition est plus profonde qu’une violation standard. Les données volées lient des identités vérifiées complètes — noms légaux, dates de naissance, adresses personnelles, copies de passeports ou de permis de conduire, et les selfies soumis lors de la vérification du compte — à des références de portefeuilles Bitcoin et à des enregistrements complets de transactions en chaîne. Cette combinaison n’expire pas. Même si les utilisateurs concernés ouvrent de nouveaux portefeuilles, toute personne disposant des données divulguées peut tracer leurs mouvements de pièces antérieurs jusqu’à une identité réelle confirmée, de manière permanente.

Revolut a déclaré qu’aucune télémétrie faciale biométrique n’était impliquée — les modèles dérivés du système utilisés pour la correspondance automatique des visages — seulement la photographie brute prise lors de l’onboarding. Les fonds des clients n’ont pas été affectés. L’entreprise a bloqué l’adresse e-mail frauduleuse, notifié l’autorité gouvernementale dont l’identité a été copiée, alerté les forces de l’ordre, et déposé les divulgations réglementaires requises. La question de savoir si les régulateurs européens de la protection des données considèrent cette réponse comme adéquate reste ouverte : le RGPD impose des obligations strictes sur la manière dont les entreprises traitent et protègent le type de documents d’identité qui ont été pris.

L’incident pointe vers une catégorie d’attaque que la sécurité technique seule ne peut pas empêcher. Une entreprise peut chiffrer ses bases de données, auditer ses API, et exécuter des tests d’intrusion — et être quand même ingénierie sociale via les procédures qu’elle est légalement tenue de suivre. Le problème n’est pas le code de Revolut. C’est la question non résolue de savoir comment toute organisation vérifie qu’une demande portant des marques officielles provient réellement de l’officiel qu’elle prétend représenter.

Revolut a notifié directement les clients concernés et n’a pas divulgué le nombre total de comptes impliqués ni les marchés spécifiques où l’exposition a eu lieu. Pour toute personne ayant reçu une notification de violation, des documents d’identité entre les mains d’escrocs ouvrent la porte à une fraude s’étendant bien au-delà de la plateforme elle-même — utilisation frauduleuse de passeports, appels de phishing référençant des détails de compte réels, vol d’identité à travers les services financiers. Et le registre Bitcoin est un problème différent : Revolut peut réinitialiser un mot de passe, mais personne ne réinitialise la blockchain.

Étiquettes: fintech, data breach, Revolut, social engineering