Revolut potwierdził wyciek danych klientów. Oszust podszył się pod instytucję rządową

Revolut potwierdził wyciek danych części swoich klientów. Wrażliwe informacje trafiły do osoby nieuprawnionej, która podszyła się pod instytucję rządową. Firma zapewnia jednocześnie, że jej systemy nie zostały przełamane, a pieniądze na kontach są bezpieczne.

Revolut potwierdził wyciek danych części klientów

Fintech przyznał, że wrażliwe informacje części użytkowników zostały ujawnione osobie nieuprawnionej. Oszust wysłał żądanie z adresu e-mail powiązanego z oficjalną domeną instytucji rządowej. Wiadomość wyglądała wiarygodnie. Firma potraktowała ją jako autentyczną.

Spółka zaznacza przy tym, że jej systemy nie zostały przełamane, a środki klientów nie zostały naruszone. Nie doszło więc do włamania do infrastruktury, lecz do oszustwa opartego na wiarygodnie wyglądającym żądaniu urzędowym. To nie było włamanie.

Liczbę osób objętych incydentem firma określa jako ograniczoną w porównaniu z całą bazą użytkowników. Dokładnej liczby nie podano. Revolut obsługuje dziś ponad 80 mln klientów na świecie, więc nawet ograniczony incydent wywołuje duże zainteresowanie.

Jakie informacje trafiły w ręce oszusta

Sprawę nagłośnił ZachXBT, niezależny śledczy zajmujący się analizą transakcji blockchainowych. Według opublikowanych przez niego informacji zakres ujawnionych danych mógł obejmować imiona i nazwiska, daty urodzenia oraz kopie paszportów lub praw jazdy. W zestawieniu znalazły się też zdjęcia wykonywane podczas weryfikacji tożsamości.

W kolejnych doniesieniach pojawiły się informacje o możliwym ujawnieniu numerów IBAN, wyciągów z rachunków oraz historii wypłat i operacji, w tym aktywności związanej z bitcoinem. Nie oznacza to jednak, że cały ten zakres został oficjalnie potwierdzony jako dotyczący każdego poszkodowanego klienta. Tu trzeba oddzielić ustalenia od doniesień.

Sprawa wypłynęła w sieci 12 września, gdy o możliwym wycieku zaczęli pisać internauci. Dzień później Revolut potwierdził incydent w oświadczeniu przekazanym mediom. Wcześniej nie było o nim publicznie wiadomo.

Firma zablokowała adres i powiadomiła organy ścigania

Po wykryciu oszustwa Revolut zablokował wykorzystywany adres e-mail i skontaktował się z klientami, których dotyczył incydent. O sprawie poinformowane zostały również organy ścigania, instytucje zajmujące się ochroną danych, regulatorzy finansowi oraz właściwa instytucja państwowa. Poszkodowani mają otrzymać wsparcie.

Nie ujawniono natomiast, z jakiego kraju pochodziła domena wykorzystana przez oszusta ani pod jaką instytucję się podszywano. Tego szczegółu zabrakło. Nie wiadomo też, ilu dokładnie klientów dostało powiadomienie od spółki.

Biometryczna telemetria twarzy miała pozostać bezpieczna

Wśród przekazanych informacji pojawił się jeszcze jeden szczegół dotyczący weryfikacji tożsamości. Biometryczna telemetria twarzy nie została ujawniona. To istotne, bo założenie konta w usłudze finansowej wymaga zwykle przesłania dokumentu oraz zdjęcia potwierdzającego tożsamość, a takich materiałów nie da się później zmienić jak hasła.

Przypomnijmy, że osoba objęta wyciekiem powinna dostać bezpośrednią informację od Revoluta. To dobry moment, żeby czytać wiadomości z aplikacji uważniej niż zwykle. Zwłaszcza teraz.

Sama spółka podkreśla, że incydent nie doprowadził do naruszenia jej systemów ani środków klientów. Sprawa pokazuje jednak, że nawet prawidłowo zabezpieczona infrastruktura finansowa bywa obchodzona przez wiarygodnie wyglądającą próbę podszycia się pod uprawnioną instytucję. Wystarczył jeden e-mail.