Revolut : passeports et KYC dans la nature, ces centaines de clients victimes d'un chantage à 3M$ en Monero

Pas de serveurs éventrés ni de coffres virtuels vidés, mais un chantage public en crypto qui vise directement les données personnelles : Revolut se retrouve au centre d’une affaire explosive après la publication d’un ultimatum par un groupe de hackers se présentant sous le nom d’iamnotavillain. Ces derniers réclament 6 000 XMR, soit environ 3 millions de dollarsMonero, dans un délai de 24 heures.

L’extorsion fait suite à une fuite de données déjà reconnue par la fintech quelques jours plus tôt, liée à de fausses réquisitions d’autorités qui auraient visé des clients détenant des montants importants en cryptomonnaies. Environ 680 clients seraient concernés, avec des copies de documents d’identité et des historiques de transactions en jeu, tandis que Revolut assure que les fonds restent en sécurité. Les fonds semblent protégés, les identités beaucoup moins.

Une rançon de 6 000 XMR après une fuite ciblée chez Revolut

La chronologie s’est accélérée à partir du 12 septembre, quand Revolut a reconnu avoir transmis des informations sensibles à une personne non autorisée après avoir répondu à de fausses demandes émanant d’un domaine de messagerie gouvernemental légitime, lié au système italien de courrier électronique certifié PEC. La néobanque indique qu’aucune intrusion n’a touché ses systèmes centraux ni les comptes, et que les fonds des clients n’ont pas été compromis. Le groupe iamnotavillain affirme pour sa part détenir jusqu’à 147 Go de dossiers et a mis en ligne un site avec compte à rebours, réclamant 6 000 Monero, l’équivalent d’environ 3 millions de dollars.

Les auteurs de l’ultimatum expliquent avoir utilisé l’analyse on-chain des blockchains publiques pour repérer les comptes Revolut associés à de gros portefeuilles crypto, avant de cibler leurs demandes de données. Parmi les éléments exposés figureraient des dates de naissance, des adresses postales et électroniques, des numéros de téléphone, ainsi que des copies de passeports et de permis de conduire, sans oublier des historiques de transactions, y compris en actifs numériques. Une vidéo d’environ 60 secondes montrant un utilisateur faisant défiler ces documents a été transmise à un grand quotidien économique pour appuyer ces affirmations. Les victimes seraient majoritairement situées en France et en Suisse, mais aussi dans plusieurs autres pays européens.

Monero au cœur du chantage et bataille autour des données exposées

Les hackers ne demandent ni dollars ni bitcoin, mais du Monero (XMR). Cette cryptomonnaie a été conçue autour de la confidentialité : différentes techniques cryptographiques masquent l’adresse d’envoi, l’adresse de réception et le montant transféré, ce qui complique fortement le suivi des flux. Ce profil explique pourquoi Monero revient régulièrement dans les affaires d’extorsion en ligne. Les attaquants affirment en outre qu’une demande antérieure de 10 000 BTC, apparue sur Telegram, provenait d’un imposteur ou d’un ancien associé, histoire de se distinguer d’autres tentatives de chantage. Des sociétés spécialisées travaillent pourtant depuis des années à réduire l’anonymat réel de XMR, en étudiant par exemple l’activité des nœuds ou certaines adresses IP.

Face à l’ultimatum, Revolut assure accompagner les clients touchés, avoir bloqué l’adresse de messagerie utilisée pour les fausses réquisitions et avoir alerté autorités, régulateurs financiers et organismes chargés de la protection des données, en Italie comme dans les pays où elle opère. Sur la question même de la rançon, un porte-parole de Revolut a déclaré : « Revolut n’a reçu aucun contact direct ni aucune demande » de la part du groupe, a-t-il indiqué à Reuters. Les pirates disent de leur côté qu’ils n’ont engagé aucune négociation privée et qu’ils utilisent pour la première fois un site public pour communiquer, une méthode qui tranche avec les pratiques habituelles des groupes de ransomware. Même si le compte à rebours fixé à 24 heures a expiré, un passeport, une adresse complète, des photos de vérification KYC et un historique financier détaillé restent exploitables pour du phishing ciblé, de l’usurpation d’identité ou de l’extorsion bien au-delà de ce délai, ce qui inquiète durement les clients concernés, imméditamement exposés à ces risques.