Après la fuite de données chez Revolut, les arnaques pleuvent déjà sur les clients
À peine quelques jours après la fuite de données qui a touché Revolut, les premières arnaques apparaissent déjà. Et les escrocs redoublent d'ingéniosité pour faire passer leurs faux SMS pour de véritables messages de la banque.
Il n'a pas fallu attendre bien longtemps avant que les premières arnaques arrivent après la fuite de données qui a touché Revolut ! En effet, les chercheurs de Malwarebytes ont découvert, le 14 septembre dernier, un premier cas de phishing visant un client de la banque en ligne, lui demandant de réaliser une fausse procédure de vérification d'identité. D'autres arnaques similaires ont été recensées par la suite.
Et le moins que l'on puisse dire, c'est que les escrocs ont particulièrement soigné leur approche, puisque certains messages frauduleux apparaissent directement dans la même conversation que les véritables SMS envoyés par Revolut. De quoi rendre l'arnaque nettement plus crédible aux yeux de la victime.
Piratage de Revolut : une fuite de données particulièrement sensibles
Pour rappel, Revolut a reconnu le 16 septembre dernier avoir été victime d'une attaque par ingénierie sociale. Les cybercriminels n'ont pas pénétré dans les systèmes de la banque : ils se sont fait passer pour une agence gouvernementale italienne et ont obtenu des informations sensibles en adressant de fausses demandes depuis une adresse électronique appartenant au domaine légitime de l'organisme. Revolut a alors communiqué les données de clients à cette personne se présentant comme une autorité officielle.
Le nombre de personnes concernées reste limité – un peu moins de 700 victimes dans toute l'Europe –, mais les informations exposées sont particulièrement sensibles. Les données dérobées comprennent l'identité complète et les coordonnées des clients, avec leur date de naissance, leur adresse postale, leur adresse e-mail et leur numéro de téléphone, ainsi que des copies de pièces d'identité, des selfies utilisés pour les vérifications biométriques, des IBAN et même l'historique complet des transactions, y compris en Bitcoin.
Ces informations constituent une matière première particulièrement intéressante pour les escrocs. Avec un nom, un numéro de téléphone, des informations bancaires et des documents d'identité, il devient possible de rendre une tentative de phishing beaucoup plus crédible qu'un simple SMS envoyé au hasard, voire d'usurper l'identité des victimes.
Arnaque Revolut : un timing pour le moins troublant
C'est précisément ce que semble chercher à exploiter la nouvelle campagne observée par Malwarebytes. Le SMS reçu par les victimes prétend provenir de Revolut et les invite à cliquer sur un lien pour confirmer leur identité. L'arnaque ne s'arrête toutefois pas à une simple fausse page de connexion. Après avoir ouvert le lien, la victime est invitée à autoriser l'accès à la caméra de son smartphone. Le site reproduit ensuite le système de vérification vidéo utilisé par la banque et lui demande de tourner la tête devant la caméra. Une fois cette étape terminée, le faux site réclame alors le mot de passe du compte. Bref, cela leur permet d'obtenir des informations encore plus sensibles, dont des données biométriques qui pourraient être utilisées pour ouvrir d'autres comptes en ligne au nom des victimes. Le tout pour mieux désarmer leur vigilance.
Le plus inquiétant reste toutefois la manière dont les SMS sont envoyés. Les escrocs utilisent une technique appelée "Sender ID spoofing" (usurpation de l'identifiant d'expéditeur, en bon français), qui consiste, comme son nom l'indique, à usurper l'identifiant normalement utilisé par la banque. Les messages sont envoyés via des plateformes professionnelles d'envoi en masse, les mêmes que celles utilisées par les établissements pour leurs alertes légitimes. Le smartphone de la victime regroupe alors les véritables SMS de Revolut ainsi que ceux qui sont frauduleux au sein d'une même conversation pour donner l'impression que ces derniers proviennent véritablement de la banque.
Attention, il est pour l'instant impossible d'affirmer avec certitude que cette campagne de phishing exploite les données volées lors de la fuite. Les chercheurs de Malwarebytes soulignent que des escrocs sans aucun lien avec l'incident peuvent tout à fait avoir profité de sa médiatisation pour cibler les clients de Revolut, même si le timing est troublant. Dans tous les cas, la prudence est de mise…