🚨 Fuite de données chez Revolut : l’ingénierie sociale contourne les meilleures défenses techniques

Chez Revolut, il n’y a eu ni brèche d’infrastructure, ni exploit zero-day. Pour exfiltrer des données sensibles, il a suffi de demander.

🔍 L’incident repose sur une usurpation ciblée des canaux légaux de réquisition :

🎯 Le vecteur d’attaque : les cyberattaquants ont exploité un nom de domaine légitime appartenant à une administration publique afin de soumettre des demandes officielles de communication de données.

📩 La faille opérationnelle : trompées par l’apparence officielle de la requête et la conformité apparente de l’expéditeur, les équipes internes ont répondu favorablement à ces fausses réquisitions.

🗂️ Les données compromises : l’exfiltration concerne des données massives et critiques, notamment des dossiers de vérification d’identité (KYC), des copies de pièces d’identité, des coordonnées personnelles complètes ainsi que des historiques précis de transactions bancaires et crypto (Bitcoin).

🛡️ Les suites immédiates : blocage du canal frauduleux, notifications réglementaires aux autorités compétentes (DPA/CNIL, régulateurs bancaires) et signalement aux clients impactés, désormais hautement vulnérables aux attaques par rebond (phishing ultra-ciblé, fraude au président, usurpation d’identité).

🧠 Cet événement met en exergue trois faiblesses structurelles que tout RSSI, DPO ou risk manager doit adresser d’urgence :

1/ Cybersécurité : La défaillance du modèle Zero Trust 🛑
La confiance aveugle accordée à un nom de domaine institutionnel prouve qu’un e-mail légitime n’est pas un gage d’authenticité (boîte compromise, spoofing élaboré ou absence de vérification hors-bande).

Les processus de réponse aux réquisitions judiciaires constituent un angle mort de l’ingénierie sociale s’ils ne sont pas soumis à des signatures strictes et des protocoles de contre-appel systématiques.

2/ Conformité RGPD : Principe d’intégrité et de responsabilité ⚖️
Le RGPD impose d’assurer la confidentialité et la résilience des systèmes face aux accès illicites. Livrer des dossiers KYC sur simple demande dénote une carence de contrôles internes et d’habilitations.

L’exposition conjointe d’identités officielles et de comportements financiers place le risque résiduel pour les personnes physiques à un niveau critique (droit à indemnisation, sanctions prévisibles).

3/ Gouvernance & Risque IA : Le défi de l’automatisation 🤖
À l’heure où les organisations déploient des modèles d’IA pour classifier et automatiser le traitement des flux d’e-mails entrants, le risque de valider des requêtes frauduleuses élaborées par injection ou manipulation contextuelle explose.

La supervision humaine qualifiée et la formation continue aux scénarios d’usurpation d’autorité sont plus que jamais non négociables.

💼 Prêts à auditer nos angles morts ?

🔗 Source : https://next.ink/256164/fuite-de-donnees-personnelles-et-bancaires-chez-revolut-il-suffisait-de-demander/