Revolut confirme une fuite de données concernant ses clients : identité, date de naissance, adresses postales et e-mails, numéros de téléphone, et historique des transactions

Revolut confirme une fuite de données concernant ses clients après que la banque numérique a considéré une demande frauduleuse comme légitime. La demande semblait provenir d’une agence gouvernementale légitime et comportait des informations d’identification qui ont satisfait aux contrôles de Revolut. Les fichiers auraient inclus des passeports ou des permis de conduire, des selfies de vérification, des noms, des dates de naissance, des professions, des adresses personnelles, des e-mails, des numéros de téléphone, des IBAN, des relevés de compte, des historiques de retrait et l’historique complet des transactions, y compris toutes les activités liées au bitcoin. Revolut n’a pas encore révélé le nombre de clients concernés, mais la société a précisé que les fonds des clients restaient en sécurité

Revolut Group Holdings Ltd, connue sous le nom de Revolut, est une néobanque multinationale britannique et une entreprise de technologie financière dont le siège social est situé à Londres, en Angleterre. Elle a été fondée en juillet 2015 par Nik Storonsky et Vlad Yatsenko. L'entreprise propose des services bancaires numériques gratuits et par abonnement, principalement via une application mobile.

Récemment, un rapport a révélé qu'un faux e-mail gouvernemental a contourné les contrôles de sécurité du géant de la banque numérique Revolut, exposant les adresses personnelles, les pièces d’identité et l’historique des transactions en bitcoins d’un large groupe de clients. La demande semblait provenir d’une agence gouvernementale légitime et comportait des informations d’identification qui ont satisfait aux contrôles de Revolut. L’entreprise a transmis les informations des clients avant de contacter séparément l’agence et de découvrir que la demande était frauduleuse, selon les notifications envoyées aux utilisateurs concernés.

Les fichiers auraient inclus des passeports ou des permis de conduire, des selfies de vérification, des noms, des dates de naissance, des professions, des adresses personnelles, des e-mails, des numéros de téléphone, des IBAN, des relevés de compte, des historiques de retrait et l’historique complet des transactions, y compris toutes les activités liées au bitcoin. Revolut n’a pas encore révélé le nombre de clients concernés, mais la société a précisé que les fonds des clients restaient en sécurité et qu’elle avait depuis informé les utilisateurs concernés ainsi que les autorités de régulation, tout en bloquant la source de la demande.


Le point faible résidait dans le processus d’autorisation. Une fois la demande validée par les contrôles internes de Revolut, une personne se faisant passer pour un fonctionnaire a pu accéder aux mêmes informations hautement personnelles que la banque avait collectées pour satisfaire aux exigences d’identification et de conformité. ZachXBT, un enquêteur spécialisé dans l'analyse on-chain qui a attiré l'attention sur cet incident, a déclaré dans un message diffusé sur Telegram que cette faille semblait d'ampleur limitée et qu'elle aurait pu cibler des utilisateurs fortunés.

Alors que l'IA facilite l'usurpation d'identité, la question de la sécurité ne porte plus tant sur l'efficacité avec laquelle les institutions protègent les données de leurs clients que sur la quantité d'informations sensibles qu'elles doivent collecter, conserver et divulguer.

Cette révélation intervient alors que fin août, plus d'une centaine d'entreprises ont rédigé une lettre ouverte appelant à une action collective pour renforcer les cyberdéfenses face à la recrudescence des cyberattaques basées sur l'IA. Parmi les signataires figurent des géants de la technologie tels qu'OpenAI, Anthropic, Google et Microsoft, qui mettent en garde contre une « fenêtre d'opportunité limitée pour renforcer les cyberdéfenses ». Le groupe affirme que « le statu quo en matière de sécurité ne suffira pas » et appelle à ce que les défenseurs soient « dotés » d'une IA spécialisée dans la cybersécurité. Cette lettre intervient dans un contexte de recrudescence des cyberattaques, notamment une fuite de données concernant 8,7 millions de personnes.

Sources : Revolut, Rapport de ZachXBT

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Le spear-phishing par IA est très efficace, avec un taux de clics de plus de 50 %, ce qui est nettement supérieur aux humains. Il est également très rentable, réduisant les coûts jusqu'à 50 fois

« Nous sommes à court d'arguments pour ignorer la sécurité de l'IA » : des experts affirment que les systèmes d'IA échappant au contrôle humain ne relèvent plus de la science-fiction

La plupart des détecteurs d'IA sont incapables de déterminer si un courriel de phishing a été rédigé par un chatbot, d'après la plateforme de sécurité de messagerie Egress