Revolut piégé par un domaine gouvernemental

Revolut a transmis les données sensibles de plusieurs clients à un fraudeur utilisant la messagerie authentique d’une administration. Aucun fonds n’a été volé, mais l’affaire révèle une faille dans la vérification des demandes officielles.

Le courriel provenait bien d’un domaine gouvernemental. Les contrôles techniques confirmaient que le serveur d’envoi appartenait à l’organisation indiquée et que le message n’avait pas été altéré. Revolut a donc répondu à la demande en transmettant des pièces d’identité, des selfies, des relevés bancaires et des historiques de transactions. L’expéditeur n’avait pourtant aucune autorité pour les réclamer (TechCrunch).

La fintech a confirmé l’incident samedi, après la publication des courriels d’alerte reçus par certains clients. Mark Karpelès, ancien directeur général de Mt. Gox, a rendu le sien public, confirmant qu’il figurait parmi les victimes (The Block). Selon Revolut, personne n’a accédé sans autorisation à sa plateforme bancaire et aucun fonds n’a été dérobé. L’entreprise a elle-même communiqué les documents, trompée par un compte non autorisé créé au sein de l’infrastructure de messagerie d’une administration qu’elle n’a pas nommée (Security Affairs).

Le cachet était authentique. L’auteur de la demande ne l’était pas.

À la réception d’un courriel, le fournisseur de messagerie vérifie automatiquement si le serveur d’envoi a été autorisé par le propriétaire du domaine et si le contenu a été modifié en chemin. L’équivalent numérique d’un cachet postal authentique apposé par une véritable administration.

Ce cachet ne prouve toutefois pas que l’auteur est habilité à réclamer des données. L’avis envoyé par Revolut laisse entendre que l’authentification du domaine a pesé dans sa décision de traiter la demande comme légitime. L’entreprise n’a pas précisé si elle avait vérifié séparément l’identité du requérant ou le fondement juridique invoqué avant de transmettre les documents (Security Affairs, CyberInsider).

Revolut n’a contacté directement l’administration qu’après avoir communiqué les informations. Elle a alors découvert que les demandes n’étaient pas autorisées, puis bloqué l’expéditeur, alerté les autorités et averti les clients concernés (TechCrunch, Reuters/WHBL).

L’origine de cette boîte aux lettres reste inconnue. Il pourrait s’agir d’un compte existant compromis, d’un nouveau compte créé à la faveur d’une faille administrative ou d’une opération facilitée de l’intérieur. Revolut n’a révélé ni l’administration concernée, ni son pays, ni le domaine utilisé, ni l’identité de l’attaquant (TechCrunch).

Les données qui ont été transmises

L’avis adressé aux clients énumère un ensemble particulièrement complet. Les données d’identité comprenaient des copies de passeport et de permis de conduire, le selfie pris lors de l’ouverture du compte, le nom complet, la date de naissance et la profession. S’y ajoutaient l’adresse postale, l’adresse électronique et le numéro de téléphone, ainsi que des relevés de compte portant l’IBAN, des données de retrait et l’intégralité de l’historique des opérations, y compris les transactions en Bitcoin (TechCrunch, The Block).

Revolut établit une distinction technique : le selfie fourni à l’inscription a été communiqué, mais pas le modèle mathématique qu’en tire un système de reconnaissance faciale. La photographie d’un visage demeure néanmoins une donnée sensible. Associée à la copie d’un passeport, elle peut servir à tenter une usurpation d’identité, même si de nombreux dispositifs de vérification exigent aussi une preuve de présence réelle et d’autres contrôles.

Les mots de passe, codes à usage unique, numéros de carte, jetons d’authentification et clés privées de cryptoactifs ne figurent pas parmi les éléments transmis. Ces secrets permettent d’accéder directement à un compte. Les données exposées offrent en revanche de quoi construire des tentatives d’hameçonnage beaucoup plus crédibles : un escroc qui cite de véritables opérations, un numéro de compte exact et une adresse connue inspire davantage confiance que l’auteur d’un message générique (recommandations du NCSC sur les fuites de données).

Revolut évoque un « nombre limité » de clients concernés, sans fournir de total, de répartition par pays ni de période précise. Des médias belges ont fait état de victimes en Belgique en s’appuyant sur des sources anonymes, mais aucune source primaire ne l’a confirmé (The Brussels Times).

La faille tient au mécanisme de vérification lui-même. L’authentification d’un domaine indique à une banque quelle infrastructure a expédié un courriel ; elle ne permet pas de savoir si son utilisateur est habilité à exiger le dossier d’un client. Une banque qui s’en contente s’expose donc à ce type de fraude. L’incident montre que l’identité du requérant et le fondement juridique de sa demande doivent être contrôlés séparément de l’origine technique du message.