Les clients de Revolut, notamment des milliers en Irlande, ont été confrontés à leur deuxième incident de données ce mois-ci. Cette fois, la responsabilité n’incombe pas aux systèmes propres de Revolut, mais à un prestataire tiers.
DriveWealth, le courtier américain qui gérait précédemment le trading d’actions américaines pour les utilisateurs de Revolut, a confirmé que la faille a eu lieu les 4 et 5 septembre.
Que s’est-il réellement passé chez DriveWealth
Une attaque d’ingénierie sociale consiste à manipuler des personnes pour leur soutirer des informations sensibles, plutôt qu’à exploiter directement une faille technique dans un logiciel. DriveWealth a confirmé que c’est précisément cette méthode qui a permis aux attaquants d’obtenir un accès non autorisé au réseau cette fois-ci.
Les données exposées concernent uniquement les anciens dossiers clients, antérieurs au changement de modèle de trading par Revolut. Dans l’Espace économique européen, y compris en Irlande, ce changement est entré en vigueur en décembre 2023. Revolut a cessé de transmettre les informations personnelles de ses clients à DriveWealth à partir de cette date, de sorte que les utilisateurs récents ne sont pas concernés.
Les informations exposées peuvent inclure les noms, adresses email, numéros de téléphone, adresses postales, données professionnelles, ainsi que des informations biographiques telles que la nationalité, l’âge et le genre. Des numéros de compte partiels chez DriveWealth ont également été concernés.
Aucune donnée relative aux mots de passe, cartes de paiement, informations bancaires, codes d’accès Revolut, ni documents d’identité, n’a été compromise. Un porte-parole de Revolut a confirmé que DriveWealth avait contacté directement les clients concernés, tandis que Revolut a ensuite assuré un suivi par le biais de ses propres emails.
Pourquoi ce genre d’incident se répète-t-il chez les clients Revolut ?
Cette fuite survient après un autre incident, plus tôt en septembre, lorsqu’un escroc utilisant le domaine d’email officiel d’un service gouvernemental italien a réussi à tromper Revolut pour obtenir des données sensibles. Cette affaire avait touché environ 680 clients dans le monde et concernait des documents d’identité.
La faille a également impacté d’autres services que Revolut. Stake et Hatch, deux autres plateformes reposant sur l’infrastructure de DriveWealth, ont signalé des expositions similaires.
Ni Revolut, ni DriveWealth, n’ont dévoilé le nombre exact de clients concernés. Revolut compte environ 3,4 millions de clients rien qu’en Irlande.
Les utilisateurs affectés doivent surveiller leurs messages, se méfier des tentatives de phishing, et contacter Revolut uniquement par les canaux officiels en cas de doute. Deux incidents en l’espace d’un mois soulignent les risques croissants liés à la dépendance à des infrastructures fintech tierces.
