Community Trust ScoreVérifié
Une violation de sécurité chez DriveWealth, un fournisseur d’infrastructure de courtage américain, a touché les clients de Revolut, Stake et Hatch les 4 et 5 septembre. Un accès non autorisé à des données personnelles — et dans certains cas à des dossiers liés aux investissements — a eu lieu. Les dégâts n’ont pas été uniformes sur les trois plateformes.
DriveWealth a déclaré que la violation provenait d’une campagne de manipulation sociale. En gros, quelqu’un a réussi à s’introduire dans les systèmes. La société a confirmé que le problème était contenu et a souligné qu’aucune transaction, transfert ou retrait non autorisé n’avait eu lieu en conséquence. Mais les clients affectés sont maintenant avertis des risques de phishing et d’usurpation d’identité, car de vraies données personnelles circulent désormais.
Ce que chaque plateforme a perdu
Pour les utilisateurs de Revolut, les données exposées étaient plus anciennes. On parle de dossiers historiques — coordonnées, informations sur l’emploi, données biographiques de base et numéros de compte partiels chez DriveWealth. Les documents d’identité et les détails de paiement n’ont pas été touchés. Revolut a cessé d’envoyer de nouvelles données de clients de l’Espace économique européen à DriveWealth en décembre 2023 lorsque son modèle opérationnel a changé, donc les clients actuels de l’EEE sont probablement à l’abri. DriveWealth agit toujours en tant que courtier de compensation pour Revolut Securities et Revolut Wealth aux États-Unis, donc la relation n’est pas entièrement rompue — elle est simplement plus restreinte maintenant.
Les utilisateurs de Stake et Hatch ont été plus durement touchés. Les dossiers des clients de Hatch peuvent inclure des fourchettes de revenus, des soldes de trésorerie et des valeurs de portefeuille totales. Pour les utilisateurs de Stake, les données exposées couvraient le statut fiscal, le pays de taxation, les numéros de compte chez DriveWealth et les résumés de portefeuille globaux. C’est un aperçu financier plus détaillé que ce que les clients de Revolut ont perdu, et c’est le genre de données qui rend les tentatives de phishing plus convaincantes.
Stake et Hatch ont tous deux confirmé que leurs propres systèmes internes n’ont pas été touchés. La violation est restée à l’intérieur de l’environnement de DriveWealth.
Manipulation sociale, pas un piratage
DriveWealth n’a pas été piraté via une exploitation sophistiquée de type zero-day. C’est une histoire de manipulation sociale — quelqu’un s’est frayé un chemin. La société a informé ses partenaires que l’incident a été rapidement contenu, et il n’y a aucun signe d’activité financière non autorisée. Cependant, « contenu » ne signifie pas que les données ont disparu. Une fois que les noms, statuts fiscaux et résumés de portefeuille sont sortis, ils sont sortis.
Revolut a rapidement précisé que les dossiers compromis ne couvraient que des données plus anciennes, partagées avant décembre 2023. C’est une distinction significative — cela signifie que la violation ne reflète pas l’état actuel de la base de clients de Revolut en Europe. Les clients qui se sont inscrits ou ont mis à jour leurs profils après ce changement de modèle ne font pas partie de ce pool. Que cela soit rassurant dépend de la durée depuis laquelle vous êtes client de Revolut, et la plateforme ne précise pas exactement combien de personnes sont affectées.
Stake et Hatch, de leur côté, ont déclaré qu’ils travaillent avec DriveWealth pour renforcer les mesures de sécurité et prévenir de futurs incidents. Aucun détail sur ce à quoi cela ressemble concrètement. Il n’est pas clair si des notifications réglementaires au-delà des alertes aux clients sont prévues.
Séparé de l’incident précédent de Revolut
Il est important de préciser ici : cette violation de DriveWealth est différente de l’incident précédent de Revolut qui a fait les gros titres. Dans ce cas plus ancien, les attaquants ont utilisé un compte email compromis du gouvernement italien pour demander frauduleusement des informations directement à Revolut. Cette violation impliquait l’acquisition non autorisée de documents Know Your Customer et de dossiers de transactions pour environ 680 clients de Revolut. Méthode différente, données différentes, portée différente.
La violation de DriveWealth est plus large en termes de plateformes affectées — trois entreprises, pas une. Mais l’exposition financière jusqu’à présent semble limitée au vol de données plutôt qu’à un mouvement réel de fonds. DriveWealth est ferme sur ce point.
Il convient de noter que les fournisseurs d’infrastructure de courtage se trouvent à une intersection délicate. Ils alimentent l’arrière-plan de plusieurs applications destinées aux consommateurs simultanément, ce qui signifie qu’une seule violation peut se répercuter sur des plateformes qui n’ont pas de relation directe entre elles. Revolut, Stake et Hatch se disputent des utilisateurs similaires sur certains marchés. Ils partagent un fournisseur d’arrière-plan. Et maintenant, ils partagent une violation.
Les attaques de manipulation sociale sur l’infrastructure financière ne sont pas nouvelles, et elles ne disparaissent pas. Les régulateurs dans de nombreuses juridictions ont signalé le risque depuis des années. On ne sait pas encore si DriveWealth fera l’objet d’un examen formel suite à cet incident.
Les clients des trois plateformes sont invités à surveiller les emails ou messages suspects qui font référence à leurs véritables détails de compte — car ceux qui ont accédé aux données ont maintenant suffisamment d’informations pour qu’une tentative de phishing paraisse légitime. Les utilisateurs de Stake et Hatch en particulier, étant donné les données financières impliquées.
DriveWealth a confirmé qu’aucune activité financière non autorisée n’a été détectée. Stake et Hatch ont confirmé que leurs propres systèmes étaient propres. Revolut a confirmé la portée limitée aux données plus anciennes de son exposition. Et les trois plateformes de consommation ont envoyé des notifications aux utilisateurs affectés.
Les dates de la violation : 4 et 5 septembre.
Questions Fréquentes
Quelles données personnelles ont été exposées dans la violation de DriveWealth pour les clients de Revolut ?
Les clients de Revolut ont vu des dossiers historiques exposés, y compris des coordonnées, des informations sur l’emploi, des données biographiques de base et des numéros de compte partiels chez DriveWealth. Les documents d’identité et les détails de paiement n’ont pas été compromis.
Les détails financiers des clients de Stake et Hatch ont-ils été exposés dans la violation de DriveWealth ?
Oui. Les dossiers des clients de Hatch peuvent inclure des fourchettes de revenus, des soldes de trésorerie et des valeurs de portefeuille totales. Les utilisateurs de Stake ont vu leur statut fiscal, leur pays de taxation, leurs numéros de compte chez DriveWealth et leurs résumés de portefeuille exposés.
Pourquoi c'est important
Cette violation de sécurité met en lumière les vulnérabilités persistantes dans le secteur des technologies financières, où des plateformes de courtage en ligne, souvent perçues comme sûres, peuvent être exposées à des risques significatifs. En affectant des millions d'utilisateurs, cet incident souligne l'importance cruciale de la cybersécurité dans la protection des données personnelles, en particulier dans un environnement où la confiance des consommateurs est essentielle pour l'adoption des services financiers numériques. Cela pourrait également entraîner une surveillance accrue des régulateurs, incitant les entreprises à renforcer leurs mesures de sécurité pour prévenir de futures attaques.
