Шахрайський запит спричинив витік даних клієнтів Revolut

Revolut підтвердила розкриття особистих даних обмеженої кількості клієнтів після того, як неавторизована сторона скористалася електронною адресою легітимного державного домену для надсилання шахрайських запитів і отримала доступ до документів та історії транзакцій з біткоїном.

Ончейн‑дослідник ZachXBT вказав, що атака могла бути спрямована на заможних клієнтів, і повідомив, що кілька постраждалих вже отримали сповіщення від компанії. Представник Revolut підтвердив, що компанія виявила «складну зовнішню схему видавання себе за іншу особу», у межах якої запити виконувалися через використання електронної адреси державного домену, що надало їм вигляд офіційних звернень.

Revolut заявила, що інцидент зачепив «обмежену» кількість клієнтів, але не навела точних цифр, не вказала країну або державний орган, чиї облікові дані використовували зловмисники. Після виявлення компанія заблокувала відповідну адресу електронної пошти та повідомила відповідні державні органи, правоохоронців і регуляторів. За інформацією Revolut, внутрішні системи компанії та кошти клієнтів не постраждали.

За даними дослідника та декількох постраждалих, серед інформації, що могла опинитися у зловмисників, були повне ім’я, дата народження, професія, домашня адреса, електронна пошта, номер телефону, копії паспорта або водійського посвідчення, селфі, банківські виписки з IBAN, статус і дата відкриття рахунку, записи про виведення коштів і повна історія транзакцій, включно з операціями з біткоїном. Revolut уточнила, що біометричні дані, отримані під час аналізу обличчя, не були скомпрометовані.

Один із постраждалих, Нікхіл Фостер, підтвердив отримання листа від компанії і повідомив, що серед розкритих даних були копія паспорта, селфі та повна історія транзакцій. Ще один користувач, Чарльз Рід, дізнався про витік власних даних після публікації інформації про інцидент.

Фігури індустрії висловили стурбованість: співзасновник Aave Марк Целлер зазначив, що виявлення витоку стало для нього сигналом щодо ризиків процедур верифікації, фінансовий експерт Остін Кемпбелл звернув увагу на потенційні юридичні ризики для компанії, а CEO Helius Мерт Мумтаз попередив про можливість фізичних злочинів і значних фінансових втрат у разі витоків таких даних.

Інцидент стався в період, коли Revolut розширює фінансові та криптопослуги. Компанія планує вторинний продаж акцій з потенційною оцінкою близько $115 млрд і працює над цифровими активами, зокрема євростейблкоїном EURR, який відповідає вимогам регламенту MiCA. Раніше один із ранніх інвесторів компанії повідомляв, що значна частка повідомлень про підозрілі транзакції в одній із юрисдикцій надходила від банку Revolut.