Revolut discloses data breach exposing financial info, passports

Violation de données chez Revolut : une faille par ingénierie sociale

Revolut a subi une compromission de données après qu’un employé a transmis des informations confidentielles à un acteur malveillant se faisant passer pour une agence gouvernementale. L’attaquant a utilisé un domaine électronique authentifié, trompant la vigilance des services de la fintech. Bien que les fonds des clients et les systèmes de la banque restent sécurisés, les données exfiltrées concernent un nombre limité d’utilisateurs, ciblant potentiellement des profils à fort patrimoine.

Points clés :

• Méthode d’attaque : Ingénierie sociale (usurpation d’identité institutionnelle par email).
• Données compromises : Identité complète (noms, dates de naissance), coordonnées (adresses, emails, téléphones), documents officiels (passeports, permis de conduire), données de vérification faciale (selfies), ainsi que des détails financiers (IBAN, historiques de transactions et comptes Bitcoin).
• Statut : Aucun système interne n’a été piraté directement ; l’accès a été obtenu par l’envoi volontaire mais frauduleux de données.

Vulnérabilités :

• Note : Aucune CVE n’est applicable ici, l’incident résultant d’une faille de processus organisationnel et non d’une vulnérabilité logicielle spécifique.

Recommandations :

• Renforcement des procédures : Mise en œuvre de protocoles de vérification systématique « hors bande » (confirmation par un canal secondaire sécurisé) avant toute transmission de données sensibles, même si la demande semble provenir d’une source authentifiée.
• Sensibilisation : Formation continue des employés aux techniques avancées de phishing et d’usurpation de domaine.
• Surveillance accrue : Vigilance renforcée pour les clients dont les documents d’identité ont été exposés, afin de prévenir les risques d’usurpation d’identité et de fraudes financières ciblées.

Source