Revolut a signalé une nouvelle fuite de données concernant des clients qui ont investi dans des actions américaines via le courtier DriveWealth. Selon la banque, des adresses e-mail, des numéros de téléphone, des adresses postales, des informations sur le lieu de travail, le pays de citoyenneté, l’âge, le sexe et une partie du numéro de compte ont pu être concernés.
Dans une lettre, Revolut indique que le système de DriveWealth a été piraté les 4 et 5 septembre, et que des personnes malveillantes ont pu accéder aux données de clients qui ont investi dans des actions américaines via ce courtier.
La liste des informations concernées comprend les noms, les adresses e-mail, les numéros de téléphone, les adresses postales, les informations sur le lieu de travail, le pays de citoyenneté, l’âge, le sexe et une partie du numéro de compte chez DriveWealth.
Chez Revolut, on a expliqué que les comptes de courtage étaient ouverts directement chez DriveWealth pour les clients, tandis que la banque ne fournissait que des services de trading. Lors de l’inscription, les utilisateurs acceptaient le transfert de données personnelles aux deux entreprises.
La société affirme que la fuite n’a pu concerner que les données que DriveWealth avait reçues avant décembre 2023, et qu’après cela Revolut a transféré les utilisateurs de l’Espace économique européen vers un autre schéma de service.
C’est déjà le deuxième incident impliquant les données des clients de Revolut en septembre : au début du mois, la banque a indiqué qu’elle avait elle-même transmis à des personnes malveillantes des informations concernant certains utilisateurs, en prenant une fausse demande d’une autorité publique pour une demande authentique. À l’époque, la société affirmait que les systèmes de la banque et l’argent des clients n’avaient pas été touchés, et elle n’a pas révélé le nombre d’utilisateurs concernés.
Selon le Financial Times, les pirates ont exigé de Revolut une rançon de trois millions de dollars et ont menacé de vendre les informations obtenues sur les clients. Le message contenant les conditions, comme l’écrivait le média, a été publié sur l’un des sites, et les personnes malveillantes n’ont pas contacté la banque directement.
Sources
