Wyciek danych klientów Revoluta. Padł ofiarą oszustwa?
Niepokojące informacje dotyczą klientów popularnego fintechu. Revolut potwierdził, że w wyniku oszustwa nieuprawniona osoba uzyskała dostęp do wrażliwych danych części użytkowników. Sprawa jest o tyle poważna, że oszust miał wykorzystać adres e-mail należący do oficjalnej domeny instytucji państwowej.
Do sieci wypłynęły informacje o incydencie, w ramach którego dane klientów Revoluta miały zostać przekazane osobie nieuprawnionej. Początkowo sprawę nagłaśniał m.in. badacz rynku kryptowalut ZachXBT, który informował o wiadomościach otrzymywanych przez część klientów. Z najnowszych informacji wynika już, że sam Revolut potwierdził incydent. Firma przekazała, że doszło do ujawnienia wrażliwych informacji w odpowiedzi na sfałszowane żądania, które wyglądały na pochodzące od legalnej instytucji rządowej.
Revolut potwierdza. Doszło do wycieku danych klientów
Pierwsze informacje na temat sprawy pojawiły się w związku z komunikatami kierowanymi do części klientów Revoluta. Jak informował Money.pl, powołując się na wpisy ZachXBT, firma miała przekazać dane osoby podszywającej się pod przedstawiciela rządu. W tamtym momencie nie było wiadomo, o jaki kraj chodzi ani jaka dokładnie liczba klientów została objęta zdarzeniem.
Sytuacja została później potwierdzona przez Revolut. W rozmowie z Reuters firma przyznała, że wrażliwe informacje klientów zostały ujawnione nieuprawnionej osobie po otrzymaniu fałszywych żądań przesłanych z domeny należącej do prawdziwej instytucji rządowej. Firma określiła liczbę poszkodowanych jako ograniczoną, ale nie podała dokładnej liczby klientów. Revolut przekazał również, że skontaktował się bezpośrednio z osobami, których dane mogły zostać objęte incydentem.
Według informacji opisanych przez TechCrunch zakres ujawnionych danych mógł obejmować m.in. daty urodzenia, adresy pocztowe i e-mailowe oraz numery telefonów. Wśród informacji znalazły się również kopie dokumentów tożsamości, takich jak paszporty i prawa jazdy. Revolut wskazał ponadto, że w przypadku części klientów mogły zostać ujawnione zdjęcia wykonane podczas weryfikacji tożsamości, wyciągi z rachunków oraz historia transakcji.
Oszust podszył się pod rząd. Tak miał zdobyć dane
Mechanizm całego zdarzenia jest szczególnie niepokojący. Nie chodziło bowiem o klasyczne włamanie do systemu Revoluta. Według informacji przekazanych przez firmę nieuprawniona osoba wykorzystała adres e-mail znajdujący się w domenie prawdziwej instytucji państwowej i za jego pośrednictwem przesyłała fałszywe żądania dotyczące danych klientów. Revolut określił sprawę jako zaawansowane oszustwo polegające na podszywaniu się pod zewnętrzną instytucję.
Co istotne, oszust miał wykorzystać prawdziwą domenę instytucji oraz prawidłowe dane uwierzytelniające domenę. Właśnie to miało sprawić, że żądania wyglądały jak autentyczne. Money.pl informował wcześniej, że wiadomość pochodziła z nieuprawnionego konta e-mail korzystającego z oficjalnej domeny instytucji państwowej. Nie ujawniono jednak, o jaki rząd ani konkretną instytucję chodzi.
Według informacji rozpowszechnianych przez ZachXBT wśród danych finansowych, które mogły zostać ujawnione, znalazły się wyciągi z kont, numery IBAN, rejestry wypłat oraz pełna historia operacji, w tym aktywność związana z Bitcoinem. Revolut miał jednocześnie przekazać, że dane dotyczące biometrycznej telemetrii twarzy nie zostały ujawnione. Wskazano również, że incydent mógł być wymierzony w zamożniejszych użytkowników.
Chociaż incydent ma prawdopodobnie ograniczoną skalę, wygląda na to, że jego celem byli zamożni użytkownicy – napisał ZachXBT.
Czy klienci Revoluta mają powody do obaw?
Skala incydentu pozostaje ograniczona w porównaniu z liczbą wszystkich użytkowników Revoluta. Firma nie podała jednak dokładnej liczby osób, których dane zostały ujawnione. Wiadomo natomiast, że Revolut miał bezpośrednio skontaktować się z klientami, których dotyczył incydent. Oznacza to, że nie ma podstaw, by twierdzić, iż dane wszystkich użytkowników platformy zostały objęte wyciekiem.
Firma podkreśla również, że po wykryciu oszustwa zablokowała wykorzystywany adres e-mail oraz poinformowała odpowiednią instytucję państwową, organy ścigania, organy ochrony danych i właściwych regulatorów. Przedstawiciel Revoluta przekazał Reutersowi, że systemy Revoluta oraz środki klientów nie zostały naruszone.
Nie oznacza to jednak, że sprawę można bagatelizować. Zakres potencjalnie ujawnionych informacji obejmuje bowiem nie tylko podstawowe dane kontaktowe, ale także dokumenty tożsamości, informacje związane z weryfikacją, wyciągi oraz historię transakcji. W przypadku osób korzystających z Revoluta również do operacji kryptowalutowych szczególnie istotna może być informacja o ujawnieniu historii transakcji Bitcoin. Na obecnym etapie najważniejsze jest jednak to, że Revolut potwierdził incydent, określił liczbę poszkodowanych jako ograniczoną i zapewnił, że środki klientów oraz systemy firmy pozostają bezpieczne.
Obserwuj w Google News
