Une violation de données chez Revolut expose les passeports des clients et les registres de transactions Bitcoin

L'entreprise de technologie financière Revolut a subi une faille de sécurité notable après s'être conformée à une demande d'information non autorisée, entraînant la divulgation non autorisée d'identifiants sensibles d'utilisateurs et d'activités liées aux cryptomonnaies. L'incident a entraîné l'exposition de passeports de clients ainsi que d'historiques détaillés de transactions Bitcoin.

Selon un rapport de BeInCrypto, Revolut a confirmé que la compromission avait été initiée via une attaque de phishing impliquant un e-mail gouvernemental frauduleux. Les attaquants ont réussi à manipuler les procédures standard de réponse aux demandes de la plateforme, obtenant finalement des dossiers clients protégés.

Comptes de clients fortunés touchés

Des rapports de CryptoSlate et Coinpedia soulignent que l'incident a spécifiquement affecté les données de clients fortunés. CryptoPotato a noté que la violation reposait sur un stratagème sophistiqué d'ingénierie sociale, qui a permis aux auteurs de contourner les protocoles de vérification standard en se faisant passer pour des autorités étatiques légitimes.

En usurpant avec succès l'identité d'une agence officielle, la partie non autorisée a réussi à récupérer à la fois des documents d'identité et des registres complets de transactions Bitcoin passées. L'exposition de registres de transactions directement liés à des passeports vérifiés présente des risques substantiels pour la vie privée, éliminant de fait la pseudonymisation généralement associée aux avoirs en cryptomonnaies.

Examen minutieux de la conformité et de la sécurité de la plateforme

Cette violation met en évidence les défis permanents auxquels sont confrontées les plateformes financières centralisées lorsqu'il s'agit de concilier conformité réglementaire et sécurité des données. Bien que les services centralisés archivent régulièrement les fichiers d'identification des utilisateurs pour satisfaire aux exigences de connaissance du client (KYC), le stockage de ces dossiers aux côtés d'historiques de transactions sur la chaîne crée des cibles de grande valeur pour les attaquants.

Les observateurs du secteur notent que cette faille de sécurité devrait susciter un examen réglementaire strict sur la manière dont les institutions fintech vérifient et authentifient les demandes de données formelles. La violation découlant de l'ingénierie sociale plutôt que d'une exploitation logicielle directe, des questions subsistent quant à la surveillance interne et aux contrôles opérationnels régissant la protection des données des clients. La compromission pourrait également avoir un impact sur la confiance des consommateurs dans les plateformes fintech centralisées qui combinent des fonctionnalités bancaires traditionnelles et la gestion d'actifs numériques.