Un vrai email gouvernemental vient de faire fuiter les données Revolut

Le domaine était authentique. L'autorité derrière ne l'était pas

Revolut a confirmé le 12 septembre avoir divulgué des données clients après avoir reçu ce qu'elle a qualifié de "arnaque sophistiquée d'usurpation externe", dans laquelle un attaquant a utilisé le nom de domaine authentique d'un organisme public pour soumettre des demandes frauduleuses. Selon la déclaration de Revolut, la demande comportait des identifiants qui ont passé les propres contrôles de l'entreprise, qui a depuis bloqué l'adresse et alerté les autorités et les régulateurs. L'entreprise n'a pas nommé l'organisme dont le domaine a été utilisé, et n'a pas précisé si le domaine lui-même avait été compromis ou si l'attaquant avait trouvé un autre moyen de l'utiliser pour envoyer ces emails.

Sur un point, Revolut a été catégorique : "les systèmes de Revolut et les fonds des clients ne sont pas affectés". Il ne s'agit pas d'une intrusion dans l'infrastructure de Revolut. C'est le propre processus de l'entreprise pour répondre aux demandes officielles qui a fonctionné exactement comme prévu, face à une demande qui ressemblait en tout point à celles qu'il est conçu pour honorer.

Ce qui a réellement quitté les systèmes de Revolut

Les fichiers exposés, selon les informations examinées après la divulgation, allaient bien au-delà d'un nom et d'une adresse.

Revolut a indiqué que le nombre de clients concernés est "limité" sans donner de chiffre, et les enquêtes indépendantes n'ont pas non plus réussi à confirmer un total. La présence de l'historique complet des transactions en cryptomonnaies dépasse le simple problème de confidentialité : elle fournit à quiconque détient ces données une liste toute prête des clients qui détiennent et déplacent réellement des actifs numériques, exactement l'information de ciblage dont une arnaque de suivi aurait besoin.

Un échec de vérification des tiers, pas un piratage

Le schéma n'est pas nouveau, seule la cible l'est. La fraude au faux fournisseur (business email compromise) trompe depuis des années les services financiers en les poussant à virer de l'argent à un fournisseur fictif en usurpant ou en détournant le domaine authentique d'un partenaire réel, et la défense enseignée à toute équipe financière est toujours la même : un domaine authentique ne rend pas authentique la demande qui se cache derrière, donc il faut vérifier par un canal indépendant avant tout mouvement. La violation de Revolut est cet échec identique, mais côté données plutôt que côté argent. Un domaine appartenant réellement à un organisme public a suffi à faire libérer des dossiers clients, parce que rien dans le processus n'imposait un second contrôle indépendant de la personne ou du service faisant réellement la demande.

C'est la partie inconfortable pour toute entreprise réglementée : le domaine n'était pas faux. Tout ce qu'une vérification ordinaire de boîte de réception aurait recherché était présent et correct. Seul un rappel téléphonique vers un contact vérifié, en utilisant un numéro ou une adresse obtenus indépendamment de l'email lui-même, aurait permis de détecter la fraude.

Ce que toute entreprise réglementée devrait vérifier maintenant

Toute entreprise de l'UE ou du Royaume-Uni qui reçoit et honore des demandes officielles de données par email, pas seulement les banques et les fintechs, porte la même exposition que Revolut vient de démontrer exploitable. L'authentification de domaine, SPF, DKIM, un bloc de signature à l'apparence correcte, confirment d'où vient un email. Rien de tout cela ne confirme que la personne qui l'envoie détient réellement l'autorité qu'elle revendique, et traiter ces deux éléments comme identiques est exactement la faille par laquelle cette violation est passée.

La solution pratique n'est pas un nouveau logiciel de sécurité. C'est une règle écrite selon laquelle toute demande de données clients, aussi officielle qu'elle paraisse, fait l'objet d'un rappel téléphonique de vérification vers un contact obtenu indépendamment de l'email lui-même, la même norme déjà enseignée aux équipes financières avant de déplacer de l'argent. Sous le RGPD et, le cas échéant, DORA, cette étape de vérification fait aussi la différence entre un processus documenté et défendable et un rapport de violation qui se contente de dire que la demande "semblait légitime".

À lire ensuite: Le fisc français est exempté de ses propres amendes RGPD  |  Votre Photo Est Restée Un An Sur Leur Serveur