Les pirates informatiques à l'origine de la violation de données clients de Revolut ont exigé 6 000 Monero, d'une valeur d'environ 3 millions de dollars, menaçant de vendre les enregistrements volés si la banque ne paie pas dans les 24 heures.
Le Financial Times a rapporté qu'un groupe se faisant appeler « iamnotavillain » a publié la demande de rançon mercredi, accompagnée d'un compte à rebours. Les pirates ont déclaré que Revolut avait 24 heures pour envoyer 6 000 XMR avant qu'ils ne proposent les enregistrements clients à d'autres groupes criminels.
Avec une valeur implicite d'environ 500 $ par jeton, la demande s'élève à approximativement 3 millions de dollars. Le groupe a choisi Monero car cette cryptomonnaie est conçue pour dissimuler les informations sur l'expéditeur, le destinataire et le montant impliqués dans une transaction.
Selon le FT, aucune négociation entre Revolut et les pirates n'avait eu lieu au moment de la publication de son rapport. Revolut n'avait pas indiqué si elle comptait répondre à la demande ni confirmé que le groupe contrôlait les informations volées.
Les pirates ont fourni au journal un enregistrement d'écran de 60 secondes qui semblait afficher une partie du matériel en leur possession. Des passeports, des permis de conduire, des photographies soumises lors des vérifications d'identité (know-your-customer) et des historiques de transactions clients sont apparus dans la vidéo, selon le rapport.
Au moins 680 comptes ont été affectés, bien que Revolut ait publiquement décrit ce nombre comme une portion « très limitée » de sa clientèle. Un précédent rapport de crypto.news avait révélé que l'Information Commissioner's Office britannique avait ouvert une enquête après que l'entreprise ait signalé l'incident aux régulateurs.
Revolut a déclaré que ses propres systèmes et les fonds de ses clients n'avaient pas été compromis. Au lieu de cela, la divulgation s'est produite après que l'entreprise a reçu des demandes frauduleuses via un compte de messagerie utilisant le domaine d'une agence gouvernementale légitime.
Plutôt que de s'introduire directement dans l'infrastructure de Revolut, les attaquants se sont fait passer pour des fonctionnaires cherchant des informations sur les clients. Les demandes contenaient des identifiants d'authentification de domaine valides et ont passé les vérifications que Revolut utilisait pour évaluer leur légitimité.
Revolut a ensuite fourni les enregistrements clients avant de découvrir que les demandes étaient frauduleuses. Une fois l'escroquerie identifiée, l'entreprise a déclaré avoir bloqué l'adresse e-mail et contacté l'agence gouvernementale, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers.
Comme le détaille la couverture initiale, les informations divulguées comprenaient les noms complets, les dates de naissance, les professions, les adresses postales, les adresses e-mail et les numéros de téléphone. Des copies de passeports ou de permis de conduire et des selfies fournis pour la vérification d'identité figuraient également parmi les enregistrements répertoriés.
Les données de compte incluaient les numéros de compte bancaire internationaux (IBAN), les dates d'ouverture de compte, le statut du compte, les relevés de retrait et les historiques de transactions complets. Des numéros de référence de portefeuille Bitcoin et des enregistrements de transactions Bitcoin étaient également contenus dans certains relevés de compte.
L'avis client de Revolut a distingué les photographies de vérification d'identité des données de télémétrie faciale biométrique, qui, selon l'entreprise, ne faisaient pas partie de la divulgation. L'avis n'a pas non plus identifié de clés privées, mots de passe, codes de sécurité ou détails complets de cartes de paiement parmi les informations exposées.
Un communiqué de presse antérieur de l'entreprise a décrit l'incident comme une « escroquerie sophistiquée d'usurpation d'identité externe » et a maintenu que les systèmes de Revolut étaient restés sécurisés. L'entreprise n'a pas identifié publiquement l'agence gouvernementale dont le domaine e-mail a été utilisé ni expliqué comment les attaquants ont eu accès à un compte fonctionnant via ce domaine.
Les pirates ont déclaré au FT qu'ils avaient utilisé l'analyse de la blockchain pour sélectionner les clients de Revolut qui semblaient détenir d'importantes quantités de cryptomonnaies. Leur récit, s'il est exact, indiquerait que le groupe affecté a été choisi en partie en fonction de son activité financière plutôt que par une collection aléatoire de profils clients.
L'enquêteur on-chain ZachXBT avait précédemment déclaré que l'incident semblait impliquer des utilisateurs à haute valeur nette, bien que Revolut n'ait pas confirmé cette évaluation. La dernière déclaration des pirates fournit un récit similaire de leur méthode de ciblage, mais elle n'a pas été vérifiée de manière indépendante.
Les blockchains publiques peuvent exposer les historiques de transactions, les soldes de portefeuilles et les transferts entre adresses. Les analystes peuvent parfois relier cette activité à une personne identifiée lorsqu'un échange, une entreprise financière ou un autre service détient des enregistrements reliant un compte client à une adresse blockchain.
Les enregistrements Revolut divulgués peuvent contenir les deux côtés de cette connexion. Les documents d'identité et les informations de contact peuvent identifier le titulaire du compte, tandis que les historiques de transactions Bitcoin et les numéros de référence de portefeuille peuvent cartographier une partie de l'activité crypto de la personne.
Une revue d'août sur les cryptomonnaies de confidentialité expliquait que Monero rend la confidentialité des transactions obligatoire. Ses signatures de cercle (ring signatures) masquent le véritable expéditeur parmi un groupe de participants possibles, les adresses furtives (stealth addresses) cachent l'adresse publique du destinataire, et les transactions confidentielles de cercle (Ring Confidential Transactions) dissimulent le montant envoyé.
L'utilisation criminelle de XMR n'établit pas que le jeton ou tous ses utilisateurs sont engagés dans des activités illégales. Monero sert également les personnes recherchant la confidentialité financière, mais sa conception peut rendre les traces de paiement illicites plus difficiles à suivre pour les enquêteurs que l'activité menée sur des réseaux transparents tels que Bitcoin ou Ethereum.
Une affaire distincte en août a montré le même défi après que des enquêteurs ont déclaré que des actifs provenant d'un piratage rapporté de Coinsbuy de 7,9 millions de dollars avaient été convertis en Monero. Des entreprises de blockchain ont suivi des portions de ces fonds à travers plusieurs échanges avant que certains actifs ne soient apparemment échangés contre des XMR.
Le rapport du FT n'a pas précisé si l'un des 680 comptes affectés appartenait à des clients américains. Néanmoins, la combinaison d'enregistrements d'identité vérifiés et de données de transaction crypto crée un risque pertinent pour les Américains qui reçoivent des messages prétendant provenir de Revolut, d'une plateforme d'échange, d'une agence gouvernementale ou d'un fournisseur de portefeuille.
De tels enregistrements pourraient permettre aux criminels de créer des messages contenant un nom réel, une transaction, un détail de compte ou un document d'identité. La présence d'informations personnelles exactes ne prouve pas qu'un appelant ou un expéditeur représente la banque.
Les directives de sécurité de Revolut aux États-Unis stipulent que l'entreprise n'appellera pas les clients de manière inattendue pour leur demander d'effectuer un paiement ou de divulguer des codes de vérification et de sécurité. Les clients qui reçoivent un contact suspect peuvent le vérifier via le canal de support intégré à l'application de l'entreprise.
Pour les Américains dont les informations personnelles ou bancaires ont été exposées, la Federal Trade Commission dirige les consommateurs vers IdentityTheft.gov pour des étapes basées sur le type de données impliquées. L'agence conseille également aux utilisateurs de signaler les tentatives de phishing via ReportFraud.ftc.gov.
Le Centre de plaintes pour la criminalité sur Internet du FBI (Internet Crime Complaint Center) demande aux personnes signalant une fraude liée aux cryptomonnaies de fournir les adresses de portefeuille, les montants des transactions, les types d'actifs, les hachages de transaction, ainsi que les dates et heures des transferts, le cas échéant.
XMR
BTC