Les pirates à l'origine de la fuite de données clients de Revolut ont exigé 6 000 Monero, d'une valeur d'environ 3 millions de dollars, tout en menaçant de vendre les dossiers volés si la banque ne paie pas dans les 24 heures.
Résumé
- Les pirates ont exigé 6 000 XMR, d'une valeur d'environ 3 millions de dollars, de la part de Revolut.
- Au moins 680 comptes clients ont été affectés après que de fausses demandes gouvernementales ont passé les contrôles de l'entreprise.
- Les dossiers volés comprendraient des documents d'identité, des photos de vérification et des historiques de transactions complets.
- Les attaquants ont déclaré que l'analyse de la blockchain les avait aidés à identifier les clients détenant d'importants avoirs en cryptomonnaies.
Comment les pirates de Revolut ont fixé le délai de 24 heures
Le Financial Times a rapporté qu'un groupe se faisant appeler « iamnotavillain » a publié la demande de rançon mercredi accompagnée d'un compte à rebours. Les pirates ont déclaré que Revolut disposait de 24 heures pour envoyer 6 000 XMR avant qu'ils ne proposent les dossiers clients à d'autres groupes criminels.
À une valeur implicite d'environ 500 dollars par jeton, la demande totalise environ 3 millions de dollars. Le groupe a choisi Monero parce que cette cryptomonnaie est conçue pour dissimuler les informations sur l'expéditeur, le destinataire et le montant impliqué dans une transaction.
Selon le FT, aucune négociation entre Revolut et les pirates n'avait eu lieu au moment de la publication de son rapport. Revolut n'avait pas indiqué s'il prévoyait de répondre à la demande ni confirmé que le groupe contrôlait les informations volées.
Les pirates ont fourni au journal un enregistrement d'écran de 60 secondes qui semblait montrer une partie du matériel en leur possession. Des passeports, des permis de conduire, des photographies soumises lors des contrôles de connaissance du client et des historiques de transactions clients apparaissaient dans la vidéo, selon le rapport.
Au moins 680 comptes ont été affectés, bien que Revolut ait publiquement décrit le nombre comme seulement une partie « très limitée » de sa base de clients. Un précédent rapport de crypto.news a révélé que le Bureau du commissaire à l'information du Royaume-Uni avait ouvert une enquête après que l'entreprise a signalé l'incident aux régulateurs.
Revolut a déclaré que ses propres systèmes et les fonds des clients n'avaient pas été compromis. Au lieu de cela, la divulgation s'est produite après que l'entreprise a reçu des demandes frauduleuses via un compte de messagerie utilisant le domaine d'une agence gouvernementale légitime.
De fausses demandes gouvernementales ont exposé les dossiers clients de Revolut
Plutôt que de pénétrer directement dans l'infrastructure de Revolut, les attaquants se sont fait passer pour des responsables gouvernementaux cherchant des informations sur les clients. Les demandes portaient des identifiants d'authentification de domaine valides et ont passé les contrôles que Revolut utilisait pour évaluer leur légitimité.
Comme la couverture initiale l'a détaillé, les informations divulguées comprenaient les noms complets, les dates de naissance, les professions, les adresses personnelles, les adresses e-mail et les numéros de téléphone. Des copies de passeports ou de permis de conduire et des selfies fournis pour la vérification d'identité figuraient également parmi les dossiers répertoriés.
Les données de compte comprenaient les numéros de compte bancaire internationaux, les dates d'ouverture de compte, le statut du compte, les relevés de retrait et les historiques de transactions complets. Les numéros de référence des portefeuilles Bitcoin et les relevés de transactions Bitcoin étaient également contenus dans certains relevés de compte.
L'avis aux clients de Revolut distinguait les photographies de contrôle d'identité des données de télémétrie faciale biométrique, que l'entreprise a déclaré ne pas faire partie de la divulgation. L'avis n'identifiait pas non plus les clés privées, les mots de passe, les codes de sécurité ou les détails complets des cartes de paiement parmi les informations exposées.
Une déclaration antérieure de l'entreprise a décrit l'incident comme une « escroquerie sophistiquée d'usurpation d'identité externe » et a maintenu que les systèmes de Revolut restaient sécurisés. L'entreprise n'a pas publiquement identifié l'agence gouvernementale dont le domaine de messagerie a été utilisé ni expliqué comment les attaquants ont obtenu l'accès à un compte fonctionnant via ce domaine.
L'analyse de la blockchain aurait identifié des cibles riches en cryptomonnaies
Les pirates ont déclaré au FT qu'ils avaient utilisé l'analyse de la blockchain pour sélectionner les clients de Revolut qui semblaient détenir des quantités substantielles de cryptomonnaies. Leur affirmation, si elle est exacte, indiquerait que le groupe affecté a été choisi en partie en fonction de son activité financière plutôt que par une collecte aléatoire de profils clients.
L'enquêteur on-chain ZachXBT avait précédemment déclaré que l'incident semblait impliquer des utilisateurs à valeur nette élevée, bien que Revolut n'ait pas confirmé cette évaluation. La dernière déclaration des pirates informatiques fournit un récit similaire de leur méthode de ciblage, mais elle n'a pas été vérifiée de manière indépendante.
Les blockchains publiques peuvent exposer les historiques de transactions, les soldes des portefeuilles et les transferts entre adresses. Les analystes peuvent parfois relier cette activité à une personne identifiée lorsqu'un exchange, une société financière ou un autre service détient des enregistrements liant un compte client à une adresse blockchain.
Un examen des privacy coins d'août expliquait que Monero rend la confidentialité des transactions obligatoire. Ses signatures de cercle dissimulent le véritable expéditeur parmi un groupe de participants possibles, les adresses furtives cachent l'adresse publique du destinataire, et les Ring Confidential Transactions dissimulent le montant envoyé.
L'utilisation criminelle du XMR n'établit pas que le token ou tous ses utilisateurs soient engagés dans une activité illégale. Monero sert également les personnes recherchant la confidentialité financière, mais sa conception peut rendre les pistes de paiements illicites plus difficiles à suivre pour les enquêteurs que les activités menées sur des réseaux transparents tels que Bitcoin ou Ethereum.
Un autre cas d'août a montré le même défi après que les enquêteurs ont déclaré que les actifs d'un piratage signalé de 7,9 millions de dollars chez Coinsbuy avaient été convertis en Monero. Des entreprises de blockchain ont suivi des portions de ces fonds à travers plusieurs exchanges avant que certains actifs ne soient, selon les informations, échangés contre du XMR.
Ce que la violation signifie pour les clients crypto américains
Le rapport du FT n'a pas précisé si l'un des 680 comptes concernés appartenait à des clients américains. Néanmoins, la combinaison de dossiers d'identité vérifiés et de données de transactions crypto crée un risque pertinent pour les Américains qui reçoivent des messages prétendant provenir de Revolut, d'un exchange, d'une agence gouvernementale ou d'un fournisseur de portefeuille.
De tels dossiers pourraient permettre aux criminels de confectionner des messages contenant un vrai nom, une transaction, un détail de compte ou un document d'identité. La présence d'informations personnelles exactes ne prouve pas qu'un appelant ou un expéditeur représente la banque.
Pour les Américains dont les informations personnelles ou bancaires ont été exposées, la Federal Trade Commission oriente les consommateurs vers IdentityTheft.gov pour connaître les étapes à suivre selon le type de données concernées. L'agence conseille également aux utilisateurs de signaler les tentatives d'hameçonnage via ReportFraud.ftc.gov.
Le Centre de plaintes pour la criminalité sur Internet du FBI demande aux personnes signalant une fraude liée aux cryptomonnaies de fournir les adresses de portefeuille, les montants des transactions, les types d'actifs, les hachages de transaction, ainsi que les dates et heures des transferts lorsqu'elles sont disponibles.
