Revolut a divulgué les passeports, selfies de vérification et historiques de transactions Bitcoin de ses clients à un attaquant qui s'est fait passer pour une agence gouvernementale légitime via un e-mail ayant passé toutes les vérifications d'authentification standard. La divulgation a eu lieu après que Revolut a traité une demande d'information gouvernementale frauduleuse comme authentique, puis a contacté séparément l'agence et constaté que la demande n'était pas autorisée.
Pourquoi c'est important
La demande frauduleuse provenait d'une boîte mail non autorisée opérant à l'intérieur de l'infrastructure e-mail d'une véritable agence gouvernementale, et non d'une adresse externe spoofée. L'e-mail a passé les authentifications SPF, DKIM et DMARC, ce qui, selon Revolut, l'a conduite à donner suite à la demande. Cette combinaison a effectivement transformé un flux de conformité conçu pour protéger les clients en point d'entrée de la brèche.
Les enregistrements exposés associent une identité vérifiée à une activité crypto, une combinaison que les cadres de conformité ont été conçus pour protéger. Les transactions Bitcoin sont enregistrées sur une blockchain publique, ce qui fait que relier un nom, une adresse et une profession à des flux BTC spécifiques donne à un attaquant un point de départ pour cartographier l'empreinte onchain plus large d'une personne. Marc Zeller, fondateur de l'Aave Chan Initiative, faisait partie des personnes notifiées et a accusé Revolut de faire le travail des attaquants après que la société lui eut séparément demandé de fournir davantage d'informations personnelles ou de fermer son compte.
Impact sur le marché
Aucun fonds client n'a été déclaré volé. Revolut a indiqué que la divulgation n'incluait pas de mots de passe, de codes PIN de carte ni de clés privées de cryptomonnaies. Le risque immédiat est le paquet de documents d'identité, données de contact, adresses résidentielles et historiques financiers désormais potentiellement entre les mains de l'attaquant. L'enquêteur onchain ZachXBT a déclaré que la brèche semblait limitée en ampleur et pourrait avoir visé des clients fortunés. Revolut n'a pas divulgué l'agence impliquée, le nombre total de clients affectés, ni si son processus de vérification a changé depuis l'incident.
Questions fréquemment posées
-
Comment les pirates ont-ils piégé Revolut pour qu'elle divulgue les données clients ?
Les attaquants ont utilisé une boîte mail non autorisée à l'intérieur de l'infrastructure e-mail d'une véritable agence gouvernementale. L'e-mail frauduleux a passé les authentifications SPF, DKIM et DMARC, ce qui a conduit Revolut à le traiter comme une demande d'information gouvernementale légitime.
-
Quelles informations spécifiques ont été divulguées dans la brèche Revolut ?
Les données divulguées peuvent inclure des copies de passeports ou de permis de conduire, selfies de vérification, noms, dates de naissance, professions, adresses postales, numéros de téléphone, IBAN, relevés de compte, historique des retraits et historiques complets de transactions, y compris l'activité Bitcoin.
-
Des fonds clients ont-ils été volés dans la brèche Revolut ?
Non. Revolut a indiqué que les mots de passe, codes PIN de carte et clés privées de cryptomonnaie ne faisaient pas partie de la divulgation. Le risque découle de la combinaison de documents d'identité et d'historiques de transactions crypto désormais potentiellement entre les mains de l'attaquant.
-
Qui a été affecté par la brèche de données Revolut ?
Revolut n'a pas divulgué l'agence impliquée, le nombre total de clients affectés, ni la manière dont les demandes ont été filtrées. L'enquêteur onchain ZachXBT a indiqué que la divulgation semblait limitée en ampleur et pourrait avoir visé des clients fortunés.
-
Pourquoi l'exposition d'historiques de transactions Bitcoin est-elle particulièrement risquée ?
Les transactions Bitcoin sont enregistrées sur une blockchain publique. Lorsque des données d'identité sont croisées avec une activité crypto, les attaquants peuvent associer une personne connue à des adresses spécifiques et retracer son empreinte onchain plus large.
WuBlockchain
CoinDesk
WatcherGuru
CoinTelegraph
Lookonchain
TheBlock
Crypto Rank News