Breșă de securitate la Revolut. Date personale și tranzacții în Bitcoin ale clienților, expuse atacatorilor

Revolut a confirmat breșa de securitate, în urma căreia au fost predate date sensibile ale unor clienți către o terță parte neautorizată.  Totul s-a întâmplat după ce compania a primit cereri de informații trimise de pe domeniul de e-mail al unei instituții publice. Incidentul este descris drept o escrocherie sofisticată prin impersonare și susține că a fost afectat un număr „limitat” de utilizatori. Printre datele expuse s-ar afla copii ale pașapoartelor, selfie-uri de verificare și istoricul complet al tranzacțiilor, inclusiv tranzacții în Bitcoin.

Cum a funcționat atacul: un e-mail „oficial” care a trecut de verificări

Atacatorii nu au spart aplicația și nici conturile clienților. Au folosit un cont de e-mail care opera pe domeniul unei instituții de stat și au trimis, de acolo, cereri de informații care păreau perfect legitime.

Pentru că mesajul avea credențiale valide de autentificare a domeniului, Revolut a tratat solicitarea drept o cerere oficială și a răspuns. Abia ulterior compania a identificat sursa ca fiind neautorizată și a blocat-o.

„Revolut a identificat recent o escrocherie sofisticată prin impersonare externă, în care o terță parte neautorizată a folosit e-mailul de pe domeniul unei instituții guvernamentale legitime pentru a trimite cereri frauduloase de informații„, a transmis un purtător de cuvânt al companiei.

Ce date ale clienților au fost expuse

Lista informațiilor compromise include nume complete, date de naștere, ocupații, adrese poștale, adrese de e-mail și numere de telefon.

La acestea se adaugă copii ale actelor de identitate, cum ar fi pașapoarte și permise de conducere. La acestea de adaugă selfie-urile de verificare făcute la deschiderea contului. Compania a precizat că datele biometrice faciale propriu-zise nu au fost afectate.

Mai mult, au fost expuse extrase de cont cu IBAN-uri, date privind starea și deschiderea conturilor, referințe de portofel, istoricul retragerilor și istoricul complet al tranzacțiilor, inclusiv operațiuni cu Bitcoin.

Revolut: „Sistemele și fondurile clienților nu sunt afectate”

Compania insistă că infrastructura sa internă nu a fost compromisă și că incidentul ține de inginerie socială, nu de o vulnerabilitate tehnică.

„La detectare, am blocat imediat adresa și am alertat instituția guvernamentală relevantă, precum și agențiile de aplicare a legii, autoritățile de protecție a datelor și reglementatorii financiari(…) Sistemele Revolut și fondurile clienților nu sunt afectate. Am contactat direct numărul limitat de persoane afectate”, a precizat purtătorul de cuvânt.

Revolut nu a comunicat câți clienți au fost afectați. De asemenea, nu a numit instituția al cărei domeniu a fost folosit și nu a spus dacă incidentul se limitează la o anumită piață.

Clienții cu averi mari, posibila țintă a atacatorilor

Investigatorul on-chain ZachXBT, cunoscut în comunitatea crypto, a semnalat public notificarea trimisă de Revolut și a afirmat că atacul pare să fi vizat utilizatori cu averi mari.

Combinația dintre acte de identitate, date de contact și istoric de tranzacții oferă atacatorilor materialul necesar pentru înșelătorii convingătoare. Ei se pot da drept angajați Revolut, reprezentanți ai autorităților sau ai platformelor de schimb.

Datele despre tranzacțiile în Bitcoin sunt cu atât mai delicate: pot ajuta la conturarea averii, a comportamentului de tranzacționare și a expunerii la atacuri țintite.

Breșa vine în plină expansiune a Revolut

Incidentul survine într-un moment sensibil pentru companie. Revolut are peste 80 de milioane de clienți la nivel global și operează ca bancă în peste 30 de țări.

Compania și-a extins recent prezența în piețe precum India, Mexic, Franța și Emiratele Arabe Unite. La începutul lunii, autoritatea americană OCC i-a acordat o aprobare condiționată pentru înființarea unei bănci naționale, cu lansare estimată în prima jumătate a anului 2027.

În paralel, compania cântărește o posibilă listare la bursă, care ar putea fi evaluată la până la 200 de miliarde de dolari, față de 75 de miliarde, cât valora în noiembrie.