Revolut a remis des passeports et des selfies à quelqu'un qui se faisait passer pour une administration

Revolut n'a pas été piratée. C'est justement ce qui rend cette affaire intéressante.

Lundi, la banque a confirmé que quelqu'un lui avait écrit pour réclamer des dossiers clients en se faisant passer pour une administration, et qu'elle les avait envoyés. La demande provenait d'un véritable domaine gouvernemental et a passé les contrôles censés prouver qu'un courriel est bien ce qu'il prétend être, si bien que les équipes l'ont traitée comme une formalité. Ce qui est parti n'était pas une liste d'adresses e-mail. C'étaient des scans de passeports et de permis de conduire, les selfies que l'on prend lors de la vérification du compte, des dates de naissance, des adresses personnelles, des professions, des numéros de téléphone, des relevés de compte avec les IBAN, des historiques de retraits et l'intégralité des historiques de transactions, crypto comprise.

Revolut affirme que seul "un nombre limité" de clients est concerné, que ses systèmes n'ont jamais été touchés et que l'argent de personne n'a bougé. L'adresse a été bloquée dès la détection, et l'administration concernée, les forces de l'ordre, l'autorité de protection des données et les régulateurs financiers ont été prévenus. Ceux qui détiennent les données se montrent moins mesurés. Ils ont publié des échantillons sur des groupes Telegram et réclament 10 000 bitcoins, environ 780 millions de dollars, en menaçant d'en diffuser davantage chaque jour tant que Revolut ne paie pas. L'enquêteur crypto ZachXBT estime que le ciblage visait surtout des titulaires de comptes fortunés.

Voici ce qui compte pour tout le monde. Un scan de passeport accompagné du selfie correspondant, c'est exactement ce qu'il faut pour ouvrir des comptes à votre nom ou convaincre un conseiller de réinitialiser un accès. Et quiconque vous appelle désormais en se présentant comme Revolut peut vous réciter vos dernières opérations, ce qui est précisément ce qui fait fonctionner un faux appel du service antifraude. Aucune banque ne vous téléphonera pour vous demander de transférer votre argent sur un "compte sécurisé" : raccrochez et passez par la messagerie de l'application. Le contrôle de confidentialité et de comptes de Tendvane passe en revue les paramètres de connexion et de récupération de votre PC, qui est l'autre porte que ces gens essaient ensuite.