Revolut potwierdza wyciek danych klientów w wyniku oszustwa podszywającego się pod instytucję rządową

Revolut potwierdził wyciek wrażliwych danych części swoich klientów. Oszuści wykorzystali adres e-mail należący do legalnej domeny instytucji rządowej, aby przesłać fałszywe żądania udostępnienia informacji. Firma zapewnia, że systemy spółki oraz środki klientów nie zostały naruszone.

Incydent dotyczy ograniczonej liczby użytkowników, a fintech skontaktował się z osobami, których dane mogły zostać ujawnione, oferując im wsparcie.

Mechanizm ataku i zakres wycieku danych

Do wycieku danych klientów Revolut doszło w wyniku wyrafinowanego oszustwa polegającego na podszyciu się pod instytucję rządową. Oszuści wykorzystali adres e-mail w legalnej domenie należącej do instytucji rządowej, co sprawiło, że przesyłane przez nich żądania wyglądały na autentyczne. Revolut otrzymał fałszywe wnioski o udostępnienie informacji i nie rozpoznał ich jako elementu oszustwa, w efekcie czego dane części klientów trafiły do nieuprawnionej osoby.

Po wykryciu procederu fintech natychmiast zablokował wykorzystywany adres e-mail. O sprawie poinformowano właściwą agencję rządową, organy ścigania, instytucje zajmujące się ochroną danych oraz regulatorów finansowych.

Według informacji przekazanych przez Reutersa oraz innych mediów, wśród ujawnionych danych mogły znaleźć się m.in. daty urodzenia, adresy pocztowe i e-mailowe, numery telefonów oraz informacje dotyczące zawodu. Wyciek obejmował także dokumenty wykorzystywane podczas weryfikacji tożsamości, takie jak kopie paszportów i praw jazdy.

Doniesienia medialne wskazują, że zakres danych mógł być szerszy i obejmować zdjęcia wykonane podczas weryfikacji tożsamości, wyciągi z rachunków oraz historię transakcji. Pojawiły się również informacje o możliwym ujawnieniu numerów IBAN oraz danych dotyczących transakcji bitcoinowych. Revolut nie potwierdził publicznie pełnej listy informacji, które zostały ujawnione, ani liczby osób objętych incydentem.

Bezpieczeństwo systemów i środków klientów Revolut

Firma podkreśliła, że zdarzenie nie oznacza włamania do jej systemów. Rzecznik fintechu przekazał, że systemy Revolut oraz środki klientów pozostają nienaruszone. Oznacza to, że incydent nie doprowadził do przejęcia pieniędzy znajdujących się na rachunkach klientów.

Ryzyko związane z wyciekiem dotyczy przede wszystkim wykorzystania ujawnionych informacji do kolejnych prób oszustw, kradzieży tożsamości czy ataków phishingowych. Szczególnie niebezpieczne może być połączenie danych kontaktowych z informacjami dotyczącymi tożsamości klienta, co może pozwolić oszustom na przygotowanie bardziej wiarygodnych wiadomości i prób kontaktu.

Revolut jest jednym z największych europejskich fintechów, z usług korzysta ponad 80 milionów klientów na całym świecie. Incydent pojawił się w ważnym momencie dla spółki, która rozwija działalność i przygotowuje się do kolejnych etapów ekspansji. Na początku września Revolut otrzymał warunkową zgodę na działalność jako bank krajowy w Stanach Zjednoczonych.

Sprawa wycieku została ujawniona publicznie po tym, jak informacje o incydencie zaczęły pojawiać się w internecie. Wśród osób, które zwróciły uwagę na sprawę, znalazł się znany analityk zajmujący się śledzeniem transakcji i oszustw w świecie kryptowalut. Revolut poinformował, że osoby, których dane zostały objęte incydentem, zostały poinformowane bezpośrednio.