Revolut : la fuite de données tourne à la guerre des hackers

Les loups ne se mangent pas entre eux. Manifestement, personne ne l’a rappelé aux auteurs de la fuite de données chez Revolut. L’affaire change de dimension trois jours à peine après avoir révélé comment une demande frauduleuse, envoyée depuis un compte non autorisé sur un domaine gouvernemental authentique, a suffi à faire cracher à la néobanque passeports, selfies et historiques Bitcoin de ses clients. Le ou les hackers à l’origine du vol revendiquent aussi une compromission de services italiens, non confirmée. Et ils ne sont visiblement plus tout à fait d’accord entre eux sur qui a fait quoi. On fait le point de bon matin.

Revolut : le pirate revendique aussi la police italienne

Selon un thread publié le 14 septembre par International Cyber Digest, compte spécialisé en cybersécurité, le hacker de Revolut se serait confié directement à ses équipes. Et, son récit dépasse largement le cadre de la demande frauduleuse déjà documentée.

En effet, l’opération contre Revolut aurait duré six mois entiers, et les fausses demandes de données auraient transité par des systèmes compromis appartenant à plusieurs services des forces de l’ordre italiennes. L’information a été reprise dès le 14 septembre par la presse tech italienne, notamment par Matrice Digitale. Revolut, de son côté, maintient que ses systèmes internes et les fonds de ses clients n’ont pas été compromis.

Le pirate affirme détenir 147 gigaoctets de documents pris côté italien : agendas, dossiers internes, échanges personnels, selon les captures qu’il a montrées à la presse. Il cite même, toujours selon ses dires et sans authentification possible, les logs d’un agent des forces de l’ordre en pleine dispute conjugale par message. Rien de tout cela n’est confirmé. Ni Revolut, ni le Viminale, ni l’ACN (Agenzia per la Cybersicurezza Nazionale), ni la Polizia Postale n’ont fait de déclaration à ce sujet à l’heure où ces lignes sont écrites. Le conditionnel reste donc bien sur ici de rigueur.

Cependant, un précédent italien existe, sans lien établi. Les faits remontent à 2021-2022, mais la Procura di Milano n’en a révélé l’existence qu’en février dernier : six personnes y sont visées pour avoir utilisé deux adresses e-mail authentiques du ministère de l’Intérieur italien, liées à de vrais policiers, ainsi qu’un compte réel des Carabinieri, afin de soutirer des données à Wind, TIM, Vodafone, Iliad, Microsoft, TikTok, Amazon, Facebook, Snapchat et Google. Le dossier mentionne même un faux décret antiterroriste envoyé à Google, ainsi que des contacts prêtés avec NSO Group et Chainalysis. Rien ne prouve qu’il s’agit du même commando : ce dossier montre seulement qu’un accès policier italien détourné pour arracher des données à des entreprises privées ne serait pas une première.

IAmNotAVillain : la fuite Revolut vire à la guerre de gangs

Le même jour de publication du thread de Cyber Digest, un site baptisé IAmNotAVillain a fait son apparition en ligne, avec sa propre page dédiée à Revolut. Le message affiché est sans détour : Revolut aurait ignoré un signalement sur la sécurité de sa base utilisateurs, ce qui aurait poussé le groupe à publier lui-même les documents KYC (les justificatifs d’identité collectés à l’ouverture du compte), adresses, numéros de téléphone, comptes bancaires et transactions crypto qu’il affirme détenir.

Sauf que le site s’ouvre aussi sur un désaveu en règle. Ses auteurs accusent un « imposteur », ancien collaborateur selon eux, d’avoir récupéré un petit échantillon de données et de s’en attribuer désormais toute la paternité. Le groupe d’origine promet de pouvoir prouver son authenticité, fichiers originaux et échanges avec les entreprises concernées à l’appui, et met en garde quiconque négocierait avec ce rival : personne n’a intérêt à traiter avec lui.

De Zurich à La Valette : l’addition Revolut s’allonge

Toujours selon IAmNotAVillain, l’essentiel des données proviendrait de clients suisses et français. Mais la liste des pays concernés, égrenée dans le même thread, s’allonge bien au-delà : Chypre, le Portugal, l’Allemagne, l’Espagne, la Bulgarie, la Tchéquie, la Roumanie, la Pologne, Malte, la Norvège, la Suède et l’Italie apparaîtraient aussi parmi les juridictions touchées, une liste que le groupe présente lui-même comme non exhaustive.

Deux noms s’ajoutent à ceux déjà identifiés cette semaine, le joueur de tennis Shevchenko et le patron de Gamdom Felix Römer. Le thread cite aussi Georges Mikautadze, présenté comme un joueur du FC Barcelone sur la photo jointe, maillot blaugrana à l’appui. En réalité, l’attaquant évolue à Villarreal, où il était titulaire le 14 septembre face au Betis ; un temps annoncé dans le viseur du Barça cet été, il n’y a jamais été transféré.

Le tableau qui se dessine dépasse la simple négligence d’une néobanque piégée par une demande officielle falsifiée. Si les revendications du 14 septembre se confirment, ce n’est plus seulement Revolut qui devra rendre des comptes, mais des pans entiers d’administrations italiennes dont la sécurité aurait, elle aussi, cédé. À côté de ça, la demande de 10 000 bitcoins réclamée aux dirigeants de Revolut paraît presque anecdotique. Entre un hacker qui négocie, un rival qui revendique la même fuite et des services de police italiens visés à leur tour, les revendications du 14 septembre ouvrent un nouveau front dans une affaire qui, une semaine plus tôt, ne concernait qu’une demande frauduleuse et quelques clients fortunés.