Revolut, jeden z największych fintechów w Europie, poinformował, że poufne informacje ograniczonej liczby klientów zostały ujawnione w wyniku oszustwa. Do naruszenia nie doszło przez włamanie do infrastruktury firmy. Oszust wykorzystał socjotechnikę i wysyłał fałszywe żądania z adresu e-mail należącego do prawdziwej instytucji państwowej. W ten sposób zdobył między innymi kopie paszportów, dane kontaktowe i historię transakcji.

Revolut zapewnia, że jej systemy oraz środki klientów pozostały bezpieczne, a incydent miał ograniczoną skalę. Firma nie podała jednak, ilu klientów dokładnie dotyczy naruszenie.

Fałszywe żądania z urzędowej domeny

Jak podaje serwis biznesinfo.pl, do zdobycia kopii paszportów i historii przelewów nie było potrzebne żadne włamanie. Wystarczył e-mail wysłany z prawdziwej domeny instytucji państwowej. Nieuprawniona osoba wykorzystała adres znajdujący się w tej domenie i za jego pośrednictwem przesyłała do Revoluta fałszywe żądania dotyczące danych klientów. Sprawca posługiwał się przy tym prawidłowymi danymi uwierzytelniającymi, dlatego z perspektywy firmy wnioski wyglądały jak zwykła urzędowa korespondencja.

To nie był klasyczny atak hakerski na systemy, lecz wyrafinowana socjotechnika. Według informacji biznesinfo.pl atak mógł być wymierzony w zamożniejszych użytkowników platformy.

Reakcja Revoluta

Po wykryciu incydentu Revolut zablokował podejrzany adres. Z komunikatu wynika, że adres powiązany z incydentem został zablokowany po wykryciu oszustwa. Firma powiadomiła instytucję, do której należała domena, a także organy ścigania, Urząd Ochrony Danych Osobowych oraz regulatorów rynku. Rzecznik Revoluta mówił przy tym o powiadomieniu „odpowiedniej agencji rządowej”, urzędników ds. ochrony danych oraz organów nadzoru finansowego.

Revolut skontaktował się również bezpośrednio z osobami, których dane mogły zostać ujawnione, aby poinformować je o sytuacji i zapewnić wsparcie. Publikacja TechCrunch z 12 września informowała już wcześniej o możliwym naruszeniu. Oficjalne potwierdzenie pojawiło się po tych doniesieniach.

Jakie dane wyciekły?

Zakres ujawnionych informacji jest szeroki. Firma określa skalę zdarzenia jako ograniczoną i zastrzega, że incydent objął wyłącznie dane przekazane w odpowiedzi na fałszywe żądania. W komunikacie zaznaczono, że ujawnienie nastąpiło w wyniku oszustwa i nie wpłynęło na bezpieczeństwo systemów. Dokładna liczba poszkodowanych nie została podana.

Według informacji opublikowanych przez ZachXBT na Telegramie wśród ujawnionych danych znalazły się:

  • imiona, nazwiska, daty urodzenia oraz zawody;
  • adresy, adresy e-mail i numery telefonów;
  • kopie dokumentów tożsamości, w tym paszporty i prawa jazdy;
  • fotografie wykonane podczas procesu weryfikacji tożsamości.

Z ustaleń serwisu biznesinfo.pl wynika, że w ręce oszusta trafiły również wyciągi z rachunków i historia transakcji. U części użytkowników ujawnione zostały numery IBAN, rejestry wypłat oraz historia operacji na bitcoinie. Revolut zastrzega, że biometryczne dane twarzy pozostały bezpieczne. Ujawnione informacje obejmowały zatem zarówno dane osobowe, jak i finansowe.

Rzecznik: systemy i pieniądze bezpieczne

Rzecznik Revoluta, cytowany przez Bloomberga, przekazał: „Systemy Revolut i pieniądze klientów nie zostały naruszone”. Dodał: „Skontaktowaliśmy się bezpośrednio z ograniczoną liczbą osób, których dotyczy ta sytuacja, aby je poinformować i zapewnić wsparcie”.

Czym jest Revolut?

Revolut to globalna brytyjska firma z branży technologii finansowych, działająca na całym świecie. Jak opisuje Business Insider Polska, ma ponad 80 mln klientów na całym świecie. Platforma oferuje aplikację mobilną oraz powiązane z nią karty płatnicze.

Aplikacja łączy wiele funkcji: wielowalutowe konta, szybkie przelewy zagraniczne, planowanie domowego budżetu, oszczędzanie z zaokrągleń transakcji oraz inwestycje w akcje i kryptowaluty. Jednym z jej najbardziej znanych narzędzi jest błyskawiczne i tanie przewalutowywanie, które — jak podaje Business Insider Polska — eliminuje wysokie prowizje banków przy płatnościach za granicą lub w sklepach internetowych.

Obecnie w Europie Revolut działa jako licencjonowany bank. Dzięki temu depozyty klientów są objęte oficjalnym systemem gwarancji bankowych. Firma podkreśla, że jej systemy i środki klientów nie zostały naruszone, a incydent ograniczył się do danych przekazanych w wyniku oszustwa.