Revolut wpuścił oszustów podszywających się pod urząd. Wyciekły dane klientów

Ofiarami cyberprzestępców padają nie tylko pojedynczy klienci banków - czasem to same instytucje finansowe dają się nabrać na dobrze przygotowaną intrygę. Tak stało się w przypadku Revolut, gdzie doszło do poważnego incydentu bezpieczeństwa. Dane osobowe klientów zostały udostępnione osobie, która przedstawiła się jako urzędnik rządowy, a całą operację umożliwiło wykorzystanie autentycznej domeny pocztowej wraz z serią przekonujących zapytań.

Fintech oszukany metodą podszycia się pod instytucję państwową

Nawet renomowane firmy popełniają błędy, choć w sektorze bankowym tolerancja na potknięcia teoretycznie powinna być bliska zeru. Revolut nie jest tu wyjątkiem - firma sama przyznała, że doszło u niej do istotnego naruszenia bezpieczeństwa danych. Skutkiem incydentu było ujawnienie informacji o klientach, w tym numerów paszportów oraz danych osobowych, na rzecz osoby nieuprawnionej. Co istotne, nie mówimy tu o typowym wycieku spowodowanym atakiem hakerskim, lecz o sytuacji, w której dane zostały świadomie przekazane przez pracowników firmy. Kluczową rolę odegrała tu socjotechnika, choć element technologiczny również miał swoje znaczenie.

Sprawcy posłużyli się techniką znaną jako external impersonation scam - rozbudowanym podszywaniem się pod zaufany podmiot na dużą skalę. Do Revoluta trafiła seria fałszywych żądań udostępnienia danych klientów, przy czym wiadomości wysłano z prawdziwej, legalnej skrzynki pocztowej należącej do agencji rządowej. To właśnie dzięki temu pracownicy nie mieli powodu podejrzewać oszustwa i potraktowali zgłoszenie jako w pełni wiarygodne.

W wyniku ataku ujawnione zostały następujące kategorie danych:

• Dane osobowe i kontaktowe (imię i nazwisko, data urodzenia, adres zamieszkania, adres e-mail, numer telefonu)
• Kopie dokumentów tożsamości (paszporty, prawa jazdy)
• Selfie weryfikacyjne, wyciągi z kont oraz historia transakcji

Revolut nie podało dotąd żadnych konkretnych informacji o rozmiarze incydentu, zapewniając jedynie, że problem dotknął "ograniczonej" liczby użytkowników. Firma nie zdradziła też, z jakiego kraju lub regionu mogli pochodzić klienci narażeni na utratę swoich danych.

Skany paszportów i dane osobowe w rękach przestępców

Zgodnie z informacjami przekazanymi przez badacza bezpieczeństwa kryptowalut ZachXBT, incydent nie objął szerokiej bazy klientów Revolut, a jedynie wąską grupę najbardziej majętnych użytkowników. Nie zmienia to jednak wagi problemu - przestępcy zdobyli nie przypadkowe hasła czy loginy, lecz pełne komplety danych osobowych wraz ze skanami i zdjęciami paszportów.

Cała sytuacja stawia pod znakiem zapytania skuteczność procedur weryfikacyjnych stosowanych przez Revolut - i nie tylko przez tę instytucję - w zakresie obsługi zgłoszeń i wniosków o dane. W tym przypadku do ujawnienia wrażliwych informacji wystarczyła sama domena rządowej skrzynki mailowej.

Moment na ujawnienie takiego incydentu jest dla Revoluta szczególnie niekorzystny. Firma niedawno uzyskała warunkową zgodę na prowadzenie działalności w Stanach Zjednoczonych od amerykańskiego regulatora OCC, a jednocześnie coraz bardziej realny staje się plan debiutu giełdowego z wyceną sięgającą 200 miliardów dolarów. Wyciek danych to poważny cios dla reputacji firmy, który może odbić się nie tylko na samej wycenie, ale i na przebiegu ewentualnego wejścia na giełdę. Otwarte pozostaje pytanie, jak Revolut poradzi sobie ze skutkami tej sytuacji i czy incydent doprowadzi do zaostrzenia procedur weryfikacyjnych w innych firmach z sektora fintech.