Исследователи описали схему поддельных запросов в Revolut

Исследователи установили, что злоумышленники использовали доступ к скомпрометированным почтовым ящикам государственных итальянских адресов для отправки поддельных запросов в финтех‑компанию Revolut. В результате атакаторских запросов могли быть скомпрометированы данные примерно 680 клиентов.

По описанию аналитиков, атака не была взломом приложения Revolut и не привела к краже средств. Злоупотребление коснулось канала обмена информацией между государственными органами и финансовыми организациями: атакующие присылали запросы с хешами криптовалютных транзакций и адресами депозитов и получали от компании данные, которые используются для верификации клиентов.

Атакующие применяли тактику «spray and pray»: отправляли сотни идентификаторов транзакций и депозитных адресов, рассчитывая, что часть хешей будет связана с состоятельными клиентами. Запросы имитировали официальные следственные поручения. Исследователи проверили копии электронных писем в формате .eml и обнаружили вложения: фотографии документов, селфи для верификации, сведения о счёте и необработанные записи о транзакциях. Пароль к зашифрованному архиву, по имеющимся данным, отправлялся в отдельном письме.

Публичность данных в блокчейнах дала злоумышленникам способ выбирать цели: видимые транзакции и адреса использовались как поисковые ключи при запросах в централизованную финансовую систему. В одном из пакетов исследователи нашли несколько папок, каждая была посвящена отдельному клиенту, что объясняет объём полученных данных.

Часть утверждений о происхождении информации и объёме похищенных данных, в том числе цифру в 147 ГБ, находятся на стадии проверки. Появлялись также сообщения о требованиях выкупа и публикации копий документов и селфи в мессенджерах; сумма выкупа в 10 000 BTC пока не подтверждена.

В официальных материалах компании указано, что инцидент носит «ограниченный» характер, приложение и средства клиентов не были взломаны. В опубликованных документах зафиксировано, что 24 июля 2026 года Revolut отказал в раскрытии данных по части хешей, ссылаясь на юрисдикционные ограничения: 169 хешей были связаны с юридическим лицом в Великобритании и 29 — со швейцарским подразделением.

Юристы и правозащитники указывают на то, что финансовые организации обязаны отвечать на корректно оформленные государственные запросы в рамках правил по противодействию отмыванию денег, при этом механизмы проверки того, кто именно стоит за аутентифицированным запросом, могут быть ограничены. Одна из правозащитниц призвала граждан требовать от парламентариев провести слушания по рискам массового сбора финансовых данных.

Ранний инвестор Revolut Макс Карпис сообщил о получении компанией требований выкупа и рекомендовал потенциально пострадавшим принять меры безопасности: при возможности заморозить кредитные линии, сменить код доступа и включить уведомления о транзакциях, избегать контактов с теми, кто уже знает IBAN или историю криптовалютных переводов, а также рассмотреть замену паспорта в тех юрисдикциях, где это возможно. Он также предупредил о риске повторного шантажа со стороны лиц, обещающих «удалить» файлы за плату.

Расследование продолжается. Эксперты советуют пострадавшим проявлять осторожность при любых запросах от неизвестных и следовать стандартным рекомендациям по защите персональных данных и контролю средств.