Revolut przekazał dane klientów oszustom podszywającym się pod urząd

Fałszywe wnioski o dane przyszły z prawdziwej domeny agencji rządowej. Do nieuprawnionej osoby trafiły m.in. kopie paszportów i praw jazdy części klientów, a być może także ich historie transakcji.

Revolut, brytyjska firma technologii finansowych (fintech) z ponad 80 mln klientów, potwierdził w sobotę 12 września, że przekazał wrażliwe dane części klientów nieuprawnionej osobie. Oszust wysyłał wnioski o informacje z adresu e-mail w prawdziwej domenie agencji rządowej. Firma potwierdziła incydent serwisowi TechCrunch (otwiera się w nowej karcie).

Z powiadomienia, które Revolut wysłał poszkodowanym, wynika, że ujawniono daty urodzenia, adresy pocztowe i e-mailowe, numery telefonów oraz kopie dokumentów tożsamości, w tym paszportów i praw jazdy. Mogły wyciec także zdjęcia selfie wykonywane przy weryfikacji tożsamości, wyciągi z konta i historie transakcji.

Rzecznik Revolut określił liczbę poszkodowanych jako „ograniczoną”, ale jej nie podał. Firma nie ujawniła też, pod którą agencję podszył się oszust, ani czy incydent dotyczył jednego rynku. Według Revolut adres e-mail oszusta został zablokowany, a o sprawie powiadomiono agencję, organy ścigania i regulatorów. Firma zapewnia, że jej systemy i środki klientów nie zostały naruszone.

O wiadomościach rozesłanych do klientów napisał w piątek 11 września późnym wieczorem ZachXBT, niezależny badacz bezpieczeństwa kryptowalut. Jego zdaniem atak wyglądał na wymierzony w zamożnych klientów.

Do incydentu doszło w okresie szybkiej ekspansji Revolut. Firma działa jako bank w ponad 30 krajach, w ostatnich miesiącach uzyskała licencje bankowe we Francji i Wielkiej Brytanii, a na początku września dostała warunkową zgodę amerykańskiego nadzoru bankowego (Office of the Comptroller of the Currency) na utworzenie banku w USA. Revolut rozważa też wejście na giełdę. Według TechCrunch wycena mogłaby sięgnąć 200 mld dol., wobec 75 mld dol. w listopadzie 2025 roku; wcześniejsze, kwietniowe doniesienia Reutersa mówiły o ok. 172 mld euro.

Atak nie wymagał włamania do systemów. Wykorzystał zwykłą procedurę odpowiadania na wnioski organów państwowych o dane klientów. Firmy przetwarzające dane osobowe mogą sprawdzić, czy takie wnioski potwierdzają innym kanałem niż sam adres e-mail nadawcy, np. telefonicznie w instytucji, która rzekomo je wysłała.