Des clients suisses de Revolut visés par une fuite de données de comptes

Près de 700 clients de Revolut ont vu les données de leur compte tomber entre les mains de criminels après que des pirates informatiques ont convaincu la banque numérique qu’ils étaient des membres des forces de l’ordre italiennes. Des clients établis en Suisse figurent parmi les personnes touchées, même si Revolut n’a pas précisé combien de clients en Suisse avaient été concernés par l’incident.

Les assaillants auraient invoqué une enquête pour faire pression sur la banque et l’inciter à leur communiquer des informations. Après avoir obtenu les données, ils ont publié une demande de rançon en ligne et réclamé 3 millions de dollars à Revolut en échange de la confidentialité des données des clients.

L’incident place les utilisateurs suisses dans une situation difficile. Les informations disponibles ne permettent pas d’établir si des fonds ont été retirés des comptes concernés, ni de déterminer précisément quelles informations ont été divulguées. Les données de compte peuvent néanmoins fournir aux criminels des éléments utiles pour mener des tentatives d’hameçonnage ciblées, usurper une identité ou prendre le contrôle d’un compte.

La réponse de Revolut à la demande de rançon n’était pas connue au moment où l’incident a été annoncé. La banque n’a pas non plus indiqué si les autorités suisses ou les clients concernés avaient été directement informés. Ces éléments permettront de déterminer dans quelle mesure les utilisateurs suisses sont exposés et quelles mesures de protection ils devraient prendre.

Les assaillants n’ont pas eu besoin de pénétrer dans les systèmes centraux de Revolut pour obtenir les données mentionnées dans le rapport. Ils auraient plutôt exploité un mécanisme fondé sur la confiance, en se faisant passer pour une autorité policière italienne et en demandant des informations sous prétexte d’une enquête.

Cette tactique relève de l’ingénierie sociale. Les criminels imitent des institutions que les banques doivent prendre au sérieux, puis créent un sentiment d’urgence autour d’une demande d’informations sur des clients. La pression peut être particulièrement efficace lorsqu’une requête semble liée à une enquête transfrontalière en cours.

Le rapport ne permet pas d’identifier les criminels, ne nomme pas la prétendue agence italienne et n’explique pas quelles mesures de contrôle internes ont échoué. Il ne précise pas non plus si la demande a été envoyée par courriel, via un portail juridique ou par un autre canal de communication. Ces éléments sont importants, car les banques s’appuient généralement sur des procédures de vérification avant de divulguer des données de clients.

Pour les clients de Revolut, le risque immédiat peut aller au-delà des données elles-mêmes. Des criminels en possession d’informations sur un titulaire de compte peuvent rédiger des messages convaincants qui semblent provenir d’une banque, de la police ou d’une autorité de surveillance financière. Les clients devraient se méfier de toute demande inattendue de codes, de virements ou de documents d’identité et contacter Revolut par l’intermédiaire de son application officielle.

Cette fuite intervient alors que Revolut cherche à renforcer sa présence en Suisse. Selon le rapport fourni, la banque numérique a demandé une licence bancaire suisse et souhaite développer ses activités sur le marché.

Ce calendrier renforce l’attention portée à la manière dont l’entreprise traite les informations de ses clients. Une licence bancaire suisse soumettrait Revolut à un cadre réglementaire national plus exigeant, assorti d’attentes en matière de gouvernance, de gestion des risques, de résilience opérationnelle et de protection des avoirs et des données des clients. La procédure d’octroi de la licence ne garantit pas, à elle seule, que tous les futurs incidents informatiques seront évités.

La divulgation signalée met également en lumière un défi pour les banques numériques en forte croissance. Leurs services reposent sur des communications numériques rapides, des processus automatisés et des activités transfrontalières. Ces systèmes peuvent accélérer les services pour les clients, mais ils créent aussi davantage de canaux que les criminels pourraient tenter de manipuler.

Cette affaire soulève des questions concrètes pour les autorités de surveillance suisses et les consommateurs. Les autorités voudront savoir comment Revolut a authentifié la demande, quelles mesures de protection étaient en place avant la divulgation et si les clients concernés ont été avertis à temps. Les clients attendront également une explication claire sur les données exposées et sur les éventuelles indemnisations ou mesures de soutien.

Aucune banque ne peut considérer la cybersécurité comme un investissement ponctuel. Le rapport source indique que les grandes banques, en Suisse et ailleurs, consacrent des sommes importantes à des infrastructures de sécurité avancées, mais souligne aussi que les criminels trouvent de nouveaux moyens de contourner les protections existantes.

L’incident impliquant Revolut montre pourquoi les seules défenses techniques ne suffisent pas. Une banque peut protéger ses réseaux au moyen du chiffrement, de systèmes de surveillance et de contrôles d’accès, tout en restant vulnérable si un collaborateur ou un processus automatisé accepte une demande frauduleuse émanant d’une personne qui prétend représenter une autorité officielle. La vérification des demandes légales, la séparation des tâches et une remontée rapide des alertes peuvent être tout aussi importantes que la sécurité du périmètre informatique.

Les clients suisses devraient surveiller leurs comptes et rester attentifs aux messages utilisant des données personnelles divulguées. Ils devraient éviter de cliquer sur les liens contenus dans des courriels ou des SMS inattendus, ne jamais communiquer de mots de passe à usage unique et signaler tout contact suspect par les canaux officiels de la banque. En cas d’activité non autorisée sur un compte, ils devraient contacter immédiatement Revolut et envisager de signaler l’affaire à la police.

Les prochaines informations déterminantes viendront de Revolut. Les utilisateurs suisses doivent savoir quelles données ont été divulguées, quand cela s’est produit, si l’entreprise a maîtrisé l’incident et comment elle soutiendra les clients concernés.