680 clients de Revolut touchés par une fuite de données

Revolut a reconnu, mercredi 16 septembre, avoir été victime d'une fuite de données touchant plusieurs centaines de ses clients. La néobanque britannique explique avoir transmis des informations personnelles à « un tiers non autorisé » qui s'est fait passer pour une agence gouvernementale légitime.

Une usurpation d'identité gouvernementale

Selon Revolut, les escrocs ont utilisé une véritable adresse e-mail appartenant au domaine d'une agence gouvernementale pour envoyer des demandes d'informations qui semblaient authentiques. Ces messages ont franchi les contrôles internes de la banque, qui a fini par détecter l'anomalie et bloquer l'adresse concernée.

« Dès la détection de cette activité, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers », a affirmé un porte-parole de la fintech, cité par Le Monde. Des médias italiens évoquent la préfecture de Reggio de Calabre comme origine des e-mails frauduleux, une information que l'AFP n'a pas pu vérifier à ce stade.

Des données sensibles transmises à des inconnus

D'après un courriel envoyé aux clients concernés et consulté par l'AFP, la fuite porte sur des adresses postales, des photos de vérification, des pièces d'identité ainsi que des informations sur l'activité bancaire et les avoirs en bitcoins. Selon le Financial Times, les pirates ont surtout ciblé des clients détenant d'importants volumes de cryptoactifs, en particulier en France et en Suisse.

Parmi les personnes touchées figure l'entrepreneur français Mark Karpelès, ancien patron de la plateforme d'échange de bitcoins Mt. Gox, qui a fait faillite en 2014 après un piratage. Il dit avoir contacté la police au Japon, où il vit, et avoir dormi à l'hôtel avec sa famille par précaution.

« La France a eu aussi pas mal de problèmes de kidnapping », Mark Karpelès, ancien patron de Mt. Gox, client Revolut concerné.

Chantage et menace de publication quotidienne

Un groupe de cybercriminels inconnu, baptisé « Iamnotavillain », a revendiqué l'attaque et menace de publier chaque jour de nouveaux dossiers clients tant que Revolut ne verse pas de rançon. Sur les réseaux sociaux, le montant réclamé atteindrait 10 000 bitcoins, soit environ 800 millions de dollars, mais aucune source indépendante n'a confirmé ce chiffre.

Revolut refuse de commenter précisément le nombre de clients touchés, évoquant un « nombre limité de personnes ». Le porte-parole de la banque maintient toutefois que l'incident n'a pas d'impact sur les comptes eux-mêmes.

« Les systèmes de Revolut et les fonds des clients ne sont pas affectés », un porte-parole de Revolut.

Des enquêtes ouvertes en Italie et au Royaume-Uni

L'autorité italienne de protection de la vie privée a demandé à l'ensemble des établissements bancaires du pays d'examiner leurs systèmes d'accès aux données et de signaler toute faille éventuelle. La police italienne a par ailleurs ouvert une enquête sur l'origine des e-mails frauduleux.

Au Royaume-Uni, le régulateur de la protection des données (ICO) a confirmé avoir reçu un signalement et examiner les informations transmises. L'affaire intervient alors que Revolut poursuit son expansion réglementaire : la fintech a obtenu une licence bancaire en Australie en juillet, une autorisation conditionnelle aux États-Unis début septembre, et a annoncé mercredi avoir déposé une demande de licence en Suisse.

Fondée en 2015, Revolut a été l'une des pionnières des services bancaires sur smartphone, portée récemment par des offres commerciales agressives comme son livret d'épargne à 5,25 %. Sa croissance rapide lui a valu par le passé des critiques sur sa capacité à respecter les réglementations financières, notamment en matière de lutte contre la fraude et le blanchiment d'argent.