Revolut potwierdził wyciek wrażliwych danych części swoich klientów. Oszuści wykorzystali adres e-mail należący do legalnej domeny instytucji rządowej i za jego pomocą przesłali do firmy fałszywe żądania udostępnienia informacji. Fintech zapewnia, że systemy spółki oraz środki klientów nie zostały naruszone.
Do wycieku danych klientów Revolut doszło w wyniku wyrafinowanego oszustwa polegającego na podszyciu się pod instytucję rządową. Firma potwierdziła, że nieuprawniona osoba trzecia uzyskała dostęp do wrażliwych informacji dotyczących ograniczonej liczby użytkowników - informuje Bloomberg.
Revolut nie podał, ilu dokładnie klientów zostało dotkniętych incydentem. Spółka poinformowała jednak, że skontaktowała się bezpośrednio z osobami, których dane mogły zostać ujawnione, i zaoferowała im wsparcie.
Oszuści wykorzystali prawdziwą domenę
Mechanizm ataku był szczególnie niebezpieczny, ponieważ przestępcy nie musieli włamywać się bezpośrednio do systemów Revoluta. Wykorzystali adres e-mail w legalnej domenie należącej do instytucji rządowej, dzięki czemu przesyłane przez nich żądania wyglądały na autentyczne.
Revolut przekazał, że otrzymał fałszywe wnioski o udostępnienie informacji i nie rozpoznał ich jako elementu oszustwa. W efekcie dane części klientów trafiły do nieuprawnionej osoby.
Po wykryciu procederu fintech natychmiast zablokował wykorzystywany adres. O sprawie poinformowano właściwą agencję rządową, organy ścigania, instytucje zajmujące się ochroną danych oraz regulatorów finansowych.
Jakie dane mogły wyciec?
Według informacji przekazanych przez Reutersa oraz doniesień innych mediów wśród ujawnionych danych mogły znaleźć się m.in. daty urodzenia, adresy pocztowe i e-mailowe, numery telefonów oraz informacje dotyczące zawodu.
Chodziło także o dokumenty wykorzystywane podczas weryfikacji tożsamości, w tym kopie paszportów i praw jazdy. Według doniesień medialnych zakres danych mógł być jeszcze szerszy i obejmować zdjęcia wykonane podczas weryfikacji tożsamości, wyciągi z rachunków oraz historię transakcji. Pojawiają się również informacje o możliwym ujawnieniu numerów IBAN oraz danych dotyczących transakcji bitcoinowych.
Revolut nie potwierdził publicznie pełnej listy informacji, które zostały ujawnione. Nie podał również liczby osób objętych incydentem.
Pieniądze klientów są bezpieczne
Firma podkreśla, że zdarzenie nie oznacza włamania do jej systemów. „Systemy Revolut i środki klientów pozostają nienaruszone” – przekazał rzecznik fintechu.
Oznacza to, że sam incydent nie doprowadził do przejęcia pieniędzy znajdujących się na rachunkach klientów. Ryzyko dotyczy przede wszystkim wykorzystania ujawnionych informacji do kolejnych prób oszustw, kradzieży tożsamości czy ataków phishingowych.
Szczególnie niebezpieczne może być połączenie danych kontaktowych z informacjami dotyczącymi tożsamości klienta. Takie dane mogą pozwolić oszustom na przygotowanie znacznie bardziej wiarygodnych wiadomości i prób kontaktu.
Revolut ma ponad 80 mln klientów
Revolut należy do największych europejskich fintechów. Firma deklaruje, że korzysta z jej usług ponad 80 mln klientów na całym świecie
Incydent pojawił się w szczególnie ważnym momencie dla spółki, która szybko rozwija działalność i przygotowuje się do kolejnych etapów ekspansji. Na początku września Revolut otrzymał warunkową zgodę na działalność jako bank krajowy w Stanach Zjednoczonych.
Sprawa wycieku została ujawniona publicznie po tym, jak informacje o incydencie zaczęły pojawiać się w internecie. Wśród osób, które zwróciły uwagę na sprawę, znalazł się ZachXBT, znany analityk zajmujący się śledzeniem transakcji i oszustw w świecie kryptowalut.
Revolut przekazał, że osoby, których dane zostały objęte incydentem, zostały poinformowane bezpośrednio.
oprac. KWS
