Revolut a divulgué les identités de ses clients et leurs dossiers financiers, y compris l'historique des transactions Bitcoin, après avoir agi sur une demande frauduleuse qui semblait provenir d'une agence gouvernementale.
Selon un avis client de Revolut partagé sur Telegram par l'enquêteur on-chain ZachXBT, la demande provenait d'un compte de messagerie non autorisé qui utilisait le domaine d'une agence gouvernementale officielle. Le message a passé les vérifications d'authentification de domaine, et Revolut a déclaré qu'elle avait cru que la demande était authentique lorsqu'elle a fourni les informations.
L'avis ne nomme pas l'agence et ne précise pas comment l'expéditeur non autorisé a obtenu l'accès à son domaine de messagerie. Il ne donne pas non plus de date pour la demande ou la divulgation. ZachXBT a déclaré que plusieurs clients avaient reçu un e-mail d'alerte le vendredi 11 septembre, mais ni lui ni la partie de l'avis montrée dans sa publication n'ont fourni un nombre confirmé d'utilisateurs affectés.
Dans son récit de l'incident, Revolut a déclaré que l'e-mail semblait être une demande gouvernementale légitime car il comportait des informations d'authentification de domaine valides. La demande a été envoyée directement depuis un compte non autorisé utilisant le domaine de messagerie officiel de l'agence, plutôt que depuis une adresse conçue pour lui ressembler.
« Étant donné que la communication comportait des informations d'authentification de domaine valides, elle a été exécutée en croyant raisonnablement qu'il s'agissait d'une demande authentique d'une agence gouvernementale », a indiqué l'avis.
La formulation décrit une divulgation non autorisée faite en réponse à une demande trompeuse. L'avis ne dit pas qu'un intrus est entré dans les systèmes de Revolut, a accédé aux comptes clients ou a retiré des fonds. Il n'identifie pas la personne qui a envoyé la demande et ne précise pas si l'agence a enquêté sur l'utilisation de son compte de messagerie.
ZachXBT a décrit l'incident comme probablement limité en ampleur et a déclaré qu'il semblait avoir ciblé des utilisateurs à valeur nette élevée. L'avis de Revolut, tel que montré dans la capture d'écran, ne confirme ni la taille du groupe affecté ni la manière dont les clients ont été sélectionnés.
Revolut a énuméré les noms complets, dates de naissance et professions des clients parmi les détails d'identité fournis. Les informations de contact comprenaient les adresses postales, les adresses e-mail et les numéros de téléphone.
La demande a également entraîné la divulgation de copies de documents d'identité, tels que des passeports ou des permis de conduire, ainsi que des selfies fournis par les clients pour les vérifications d'identité. Revolut a fait une distinction entre ces images et les données de télémétrie faciale biométrique, qui, selon elle, n'étaient pas impliquées.
Les relevés de compte constituaient une autre partie des informations divulguées. Selon l'avis, les relevés comprenaient les IBAN, le statut du compte, les dates d'ouverture de compte et les numéros de référence des portefeuilles Bitcoin. Les relevés de retrait et les historiques de transactions complets, y compris les transactions Bitcoin, ont également été fournis.
L'avis énumère les catégories d'informations qui peuvent avoir été divulguées ; il n'établit pas que chaque client affecté avait tous les types d'enregistrements dans ses dossiers. Il ne dit pas non plus que les clés privées de portefeuille, les mots de passe de compte ou les détails complets des cartes de paiement étaient inclus. Les historiques de transactions Bitcoin sont particulièrement pertinents pour les utilisateurs de crypto, car l'avis les place aux côtés des noms et d'autres enregistrements de compte dans les informations envoyées au demandeur non autorisé.
Revolut dessert plus de 80 millions de clients dans le monde, selon une annonce de l'entreprise en août. Ce chiffre de clients décrit la taille de son activité, et non le nombre de personnes affectées par cette divulgation.
Le Bureau du Commissaire à l'information du Royaume-Uni (ICO) déclare que les conséquences possibles d'une violation de données personnelles incluent le vol d'identité, la fraude et la perte financière. Ses directives sur les violations appellent à une évaluation des informations concernées et des dommages probables pour les individus ; elles n'établissent pas que quiconque ait subi ces conséquences dans l'incident Revolut.
Pour un client dont le document d'identité et les relevés de transactions ont tous deux été divulgués, l'avis indique que le destinataire aurait pu obtenir un compte rendu détaillé des finances de cette personne. L'affirmation de ZachXBT concernant le ciblage d'utilisateurs aisés n'a pas été confirmée par Revolut dans le matériel présenté, et aucune utilisation abusive ultérieure des enregistrements n'y est documentée.
Les directives du régulateur indiquent également que les organisations doivent signaler certaines violations de données personnelles dans les 72 heures suivant leur découverte, lorsque cela est réalisable, et informer les individus sans délai excessif lorsque le risque pour leurs droits et libertés est élevé. La capture d'écran ne dit pas si Revolut a informé un régulateur ou quand l'entreprise a eu connaissance de la demande non autorisée.
Dans ses directives de sécurité pour les États-Unis, Revolut indique aux clients d'utiliser le chat de support intégré à l'application pour vérifier si un contact suspect est authentique. L'entreprise déclare qu'elle ne demandera pas aux clients de partager des codes de vérification ou de sécurité par téléphone. L'avis client montré par ZachXBT ne signale pas que de tels codes aient été divulgués.
L'incident survient alors que Revolut étend ses services bancaires et d'actifs numériques. Le 26 août, l'entreprise a commencé à proposer son stablecoin EURR, adossé à l'euro, à des clients sélectionnés au Danemark, en Pologne et au Portugal, avec une disponibilité européenne plus large prévue, comme rapporté précédemment par crypto.news. Le déploiement du stablecoin est distinct de la divulgation des dossiers clients.
Les plans de Revolut aux États-Unis fournissent un contexte pour les lecteurs américains, bien que l'avis n'identifie aucun client affecté comme étant aux États-Unis. Le 3 septembre, l'entreprise a reçu une approbation conditionnelle pour une banque américaine de l'Office of the Comptroller of the Currency. Sa banque proposée à Stamford, Connecticut, recevrait environ 95 millions de dollars de capital initial et pourrait ouvrir en 2027 si elle obtient les approbations restantes.
Pour l'instant, Revolut fournit des services bancaires aux clients américains par l'intermédiaire de Lead Bank, selon le rapport précédent. La banque nationale proposée a encore besoin de l'assurance dépôt de la Federal Deposit Insurance Corporation, de l'approbation de la Réserve fédérale et de l'autorisation finale de l'OCC avant de pouvoir ouvrir.
BTC