Des pirates réclament 780 millions de dollars en Bitcoin à Revolut après une fuite de données

Revolut a confirmé le 12 septembre avoir divulgué des données sensibles de clients à un tiers non autorisé suite à des demandes frauduleuses provenant d'une adresse e-mail utilisant un domaine gouvernemental légitime, dans ce que la fintech qualifie d'"escroquerie sophistiquée par usurpation d'identité externe". Les attaquants ont commencé à publier les dossiers volés et exigent une rançon de 10,000 Bitcoin ↗ 0.16% — soit environ 780 millions de dollars — menaçant de publier davantage de données quotidiennement si Revolut ne paie pas.coincentral+3

La brèche a touché environ 680 clients dans plusieurs pays, dont 12 en Irlande, 25 en Espagne et 27 en Roumanie, selon des informations du Financial Times relayées par Investing.com. L'Information Commissioner's Office du Royaume-Uni a confirmé avoir reçu un rapport de Revolut et évalue l'incident, tandis que la Financial Conduct Authority a déclaré être en contact avec l'entreprise.insurancebusinessmag+2

Ce qui a été exposé

Les données transmises étaient inhabituellement complètes pour un seul incident. Selon CoinDesk, les fichiers comprenaient des passeports ou des permis de conduire, des selfies de vérification, des noms, dates de naissance, professions, adresses, e-mails, numéros de téléphone, IBAN, relevés de compte, historiques de retraits et historiques complets de transactions, y compris toute l'activité Bitcoin. La notification de Revolut aux clients a confirmé cette étendue.helpnetsecurity+2

La combinaison de documents d'identité et de données de transactions Bitcoin est ce qui distingue cette brèche. Les transactions Bitcoin sont publiquement visibles sur la blockchain mais pseudonymes ; associer des références de portefeuille à un nom vérifié et à un scan de passeport lève effectivement ce pseudonymat, faisant des clients touchés des cibles potentielles pour le phishing, l'extorsion ou pire.coindesk+1

Comment l'escroquerie a fonctionné

Personne n'a pénétré les serveurs de Revolut. L'attaquant a envoyé des demandes de données depuis ce qui semblait être un domaine e-mail authentique d'une agence gouvernementale. Les messages ont passé les contrôles d'authentification technique de Revolut (SPF, DKIM et DMARC) et ont été traités comme des demandes de conformité légale standard. Revolut n'a découvert la fraude qu'après avoir contacté séparément l'agence et appris que les demandes n'étaient pas légitimes.coindesk+2

L'ancien PDG de Mt. Gox, Mark Karpelès, a noté sur les réseaux sociaux qu'un fichier publié par les attaquants semblait être un e-mail brut envoyé via le système de courrier certifié PEC italien, utilisé par les autorités italiennes pour la correspondance juridique officielle. Cybernews a rapporté que le pirate affirmait que la brèche durait depuis six mois.x

"La plupart des attaques réussies touchant nos assurés proviennent d'erreurs humaines", a déclaré Simon Hughes, directeur commercial chez Cowbell Cyber, à Insurance Business. "Cliquer accidentellement sur un lien, répondre accidentellement à quelqu'un à qui vous ne devriez pas."insurancebusinessmag

Extorsion et conséquences

Les attaquants ont revendiqué la responsabilité sur Telegram et ont commencé à publier des dossiers volés, incluant des documents d'identité appartenant au joueur de tennis Alexander Shevchenko et au PDG de Gamdom, Felix Römer, selon International Cyber Digest. La demande de 10,000 BTC reste non confirmée par Revolut, qui a refusé de commenter l'extorsion.cryptoticker+2

Revolut, qui sert plus de 80 millions de clients et a été valorisée à 115 milliards de dollars lors d'une vente d'actions secondaire plus tôt cette année, a souligné que ses systèmes bancaires principaux et les fonds des clients n'ont pas été compromis. Mais pour les quelque 680 personnes dont les passeports et selfies biométriques circulent désormais en ligne, cette distinction offre un réconfort limité.reuters+1