Wyłudzenie danych klientów Revolut z użyciem fałszywego adresu e-mail

Revolut potwierdza wyciek danych części klientów po ataku z użyciem fałszywych żądań

Revolut potwierdził wyciek wrażliwych danych części swoich klientów. Jak wynika z opisu zdarzenia, oszuści wykorzystali adres e-mail z legalnej domeny instytucji rządowej i za jego pomocą przesłali do firmy fałszywe żądania udostępnienia informacji.

Fintech zapewnia, że systemy Revolut oraz środki klientów nie zostały naruszone. Oznacza to, że sam incydent nie doprowadził do przejęcia pieniędzy z rachunków użytkowników, ale mógł otworzyć drogę do kolejnych prób oszustwa.

Firma potwierdziła, że nieuprawniona osoba trzecia uzyskała dostęp do wrażliwych informacji dotyczących ograniczonej liczby użytkowników, informuje Bloomberg. Revolut nie podał jednak, ilu dokładnie klientów dotknął incydent. Spółka przekazała też, że skontaktowała się bezpośrednio z osobami, których dane mogły zostać ujawnione, i zaoferowała im wsparcie.

Mechanizm ataku był szczególnie groźny, ponieważ przestępcy nie musieli włamywać się bezpośrednio do systemów firmy. Wykorzystali prawdziwą domenę należącą do instytucji rządowej, dzięki czemu wysyłane przez nich prośby wyglądały na autentyczne. Revolut przekazał, że otrzymał fałszywe wnioski o udostępnienie informacji i nie rozpoznał ich jako elementu oszustwa.

Według informacji przekazanych przez Reutersa oraz doniesień innych mediów wśród ujawnionych danych mogły znaleźć się m.in. daty urodzenia, adresy pocztowe i e-mailowe, numery telefonów oraz informacje dotyczące zawodu. W grę wchodziły także dokumenty wykorzystywane podczas weryfikacji tożsamości, w tym kopie paszportów i praw jazdy. Pojawiają się również informacje o możliwym ujawnieniu zdjęć wykonanych podczas weryfikacji, wyciągów z rachunków, historii transakcji, numerów IBAN oraz danych dotyczących transakcji bitcoinowych.

Revolut nie potwierdził publicznie pełnej listy informacji, które zostały ujawnione, ani liczby osób objętych incydentem. Firma podkreśla, że po wykryciu procederu natychmiast zablokowała wykorzystywany adres, a sprawę przekazała właściwej agencji rządowej, organom ścigania, instytucjom zajmującym się ochroną danych oraz regulatorom finansowym. Wśród osób, które zwróciły uwagę na sprawę, znalazł się ZachXBT, analityk śledzący transakcje i oszustwa w świecie kryptowalut.