Faille de sécurité chez Revolut : comment des données clients ont été obtenues par ingénierie sociale

Fintech

Après une usurpation d’agence publique, Revolut a vu des données clients partir. L’incident rappelle que la vérification humaine reste un maillon critique.

En bref

• Revolut a subi une fuite par usurpation d’identité
• Le point faible touche surtout les processus internes
• La finance doit vérifier le demandeur, pas seulement la demande

Dans les services financiers, on parle beaucoup d’authentification, de chiffrement, de détection. Mais quand une donnée sensible sort par la mauvaise porte, le problème est souvent plus banal. Chez Revolut, l’incident confirmé le samedi 12 septembre rappelle une chose très simple, et quand même assez rude pour le secteur, la sécurité se joue aussi au moment précis où quelqu’un demande un dossier.

Une adresse crédible a suffi à faire tomber la vigilance

Le scénario n’a rien d’exotique. Un individu s’est fait passer pour une agence gouvernementale en utilisant une adresse e-mail rattachée au domaine de cette agence. Avec cette apparence de légitimité, il a obtenu des données clients sensibles de Revolut. La banque a confirmé l’incident.

Ce détail compte. Parce qu’ici, la mécanique de l’attaque ne repose pas d’abord sur une percée technique spectaculaire, mais sur une confiance accordée à un expéditeur jugé crédible. En gros, le bon habillage a ouvert la porte.

Le vrai sujet, c’est le contrôle au moment du partage

Le commentaire de Keeper Security met le doigt là où ça pique. Des contrôles techniques, il en faut. Mais ils ne suffisent pas si l’organisation ne prévoit pas une étape formelle pour vérifier qui demande la donnée, et pas seulement ce qui est demandé.

Cette logique devrait s’appliquer à chaque transmission de dossiers clients, de documents d’identité, d’informations financières et, plus largement, à toute information sensible. Un rappel vers un numéro déjà connu, une double validation interne, ou une procédure d’escalade pour des demandes groupées inhabituelles auraient ajouté ce point de friction que l’attaquant cherchait précisément à éviter.

Résultat ? Une leçon de gouvernance autant que de cybersécurité. Et pour les équipes ops, conformité et relation institutionnelle, ce n’est pas un détail de process. C’est une barrière de sécurité.

Une leçon directe pour tout l’écosystème financier

L’affaire dépasse largement Revolut. L’ingénierie sociale fait déjà partie des menaces les plus fréquentes rencontrées par les professionnels de la sécurité en Europe. Autrement dit, une sollicitation ne devrait jamais être tenue pour fiable tant qu’elle n’a pas été confirmée par un canal indépendant, quelle que soit l’adresse affichée.

Les acteurs des services financiers sont exposés de façon très concrète. Ils manipulent chaque jour de gros volumes de données de paiement et de pièces d’identité. Forcément, ils attirent ce type d’attaque.

Ce que montre cet incident, c’est que la vérification du contenu d’une demande ne suffit plus. Il faut rendre systématique la vérification de l’émetteur. Pour l’écosystème mobile et fintech, le message est net, la procédure fait partie du produit de sécurité.

Christophe Romei

Spécialiste Fintech

Expert sur l'industrie du mobile depuis 2005

Nous apportons le plus grand soin à chaque article et nous appuyons sur des sources fiables. Personne n'est à l'abri d'une erreur : si vous en repérez une, signalez-la, nous la corrigerons au plus vite.

Sujets

Lisez Servicesmobiles.fr en priorité sur Google

Ajoutez-nous à vos sources préférées : nos articles remonteront plus haut dans votre actualité.

Le Garage des Telcos

Chaque semaine, entrez dans l’atelier des télécoms : un lieu d’analyse, de décodage et d’inspiration. Le Garage des Telcos vous emmène sous le capot de l’industrie mondiale des télécommunications pour décrypter les innovations, les stratégies.