Revolut potwierdził, że w wyniku wyrafinowanego oszustwa osoby nieuprawnione uzyskały dostęp do wrażliwych danych części klientów. Przestępcy wykorzystali adres e-mail należący do prawdziwej instytucji rządowej, aby wysłać do Revoluta fałszywe żądania udostępnienia informacji. Firma twierdzi, że problem dotyczył ograniczonej liczby klientów, ale nie ujawnia, ilu dokładnie.
To informacja szczególnie istotna również dla polskich użytkowników. Revolut jest w Polsce bardzo cenionym rozwiązaniem finansowym, szczególnie wśród osób często podróżujących, dla których aplikacja stała się wygodnym sposobem płacenia za granicą, wymiany walut czy korzystania z wielowalutowego konta. Dlatego każda informacja dotycząca bezpieczeństwa danych klientów tej firmy może wzbudzać duże zainteresowanie.
Revolut przekazał dane na podstawie fałszywych żądań
Jak poinformował Revolut, firma wykryła „wyrafinowane oszustwo polegające na podszywaniu się pod podmiot zewnętrzny”. Oszuści wykorzystali domenę prawdziwej instytucji rządowej, wysyłając z niej fałszywe zapytania o informacje dotyczące klientów.
Problem jest o tyle poważny, że nie chodziło o klasyczne włamanie do systemów banku. Według Revoluta dane zostały przekazane w odpowiedzi na żądania, które wyglądały jak autentyczne zapytania pochodzące od uprawnionej instytucji.
Firma po wykryciu oszustwa zablokowała wykorzystywany adres e-mail i poinformowała odpowiednią instytucję rządową, organy ścigania oraz właściwe organy regulacyjne.
Jakie dane klientów mogły zostać ujawnione?
Zakres informacji jest szczególnie istotny. Revolut poinformował osoby, których dotyczył incydent, że udostępnione dane mogły obejmować między innymi informacje dotyczące tożsamości i dane kontaktowe.
Wśród potencjalnie ujawnionych informacji znalazły się:
- data urodzenia,
- adres pocztowy,
- adres e-mail,
- numer telefonu,
- kopie dokumentów tożsamości, w tym paszportów i praw jazdy,
- zdjęcia użytkowników wykorzystywane podczas weryfikacji tożsamości,
- wyciągi z rachunków,
- historia transakcji.
To właśnie ta część informacji jest najbardziej niepokojąca. Połączenie danych osobowych, dokumentów tożsamości i informacji finansowych może mieć dla cyberprzestępców znacznie większą wartość niż pojedynczy wyciek adresów e-mail czy numerów telefonów.
Revolut: pieniądze klientów są bezpieczne
Firma podkreśla jednak, że incydent nie oznacza przejęcia jej systemów bankowych.
– Systemy Revoluta i środki klientów nie zostały naruszone – przekazał rzecznik firmy.
Revolut twierdzi również, że incydent dotyczył ograniczonej liczby klientów i że osoby, których dane mogły zostać ujawnione, zostały bezpośrednio poinformowane.
Firma nie podała jednak dokładnej liczby poszkodowanych. Nie ujawniła również, w jakim kraju lub krajach doszło do incydentu ani jaka konkretnie instytucja rządowa została wykorzystana przez oszustów.
Atak mógł być wymierzony w zamożniejszych klientów
Na sprawę zwrócił uwagę również znany badacz bezpieczeństwa kryptowalut ZachXBT. Według jego obserwacji incydent mógł być ukierunkowany przede wszystkim na klientów posiadających większe aktywa.
Jeżeli rzeczywiście tak było, atak pokazuje, jak dużym zagrożeniem stają się obecnie nie tylko klasyczne włamania do systemów informatycznych, ale również tzw. social engineering, czyli manipulowanie pracownikami i procedurami bezpieczeństwa.
W tym przypadku napastnicy nie musieli łamać zabezpieczeń technicznych banku. Wystarczyło przekonać system lub pracowników, że przesłane żądanie pochodzi od prawdziwej instytucji.
Dlaczego ten przypadek jest szczególnie interesujący?
Incydent Revoluta pokazuje problem, który może być coraz trudniejszy do rozwiązania. Firmy finansowe muszą odpowiadać na ogromną liczbę żądań pochodzących od organów ścigania, regulatorów i innych instytucji. Jednocześnie muszą mieć pewność, że osoba żądająca informacji rzeczywiście ma do tego prawo.
Wykorzystanie prawdziwej domeny rządowej dodatkowo zwiększa wiarygodność takiego oszustwa.
To również ważna lekcja dla użytkowników. Nawet bardzo dobrze zabezpieczona aplikacja finansowa nie eliminuje całkowicie ryzyka, jeżeli przestępca znajdzie sposób na wykorzystanie procedur obowiązujących wewnątrz firmy.
Revolut rośnie, a wraz z nim rośnie znaczenie bezpieczeństwa
Revolut ma już ponad 80 mln klientów na całym świecie i działa jako bank w ponad 30 krajach. Firma dynamicznie rozszerza działalność na kolejnych rynkach, między innymi we Francji, Indiach, Meksyku i Zjednoczonych Emiratach Arabskich.
We wrześniu amerykański Office of the Comptroller of the Currency warunkowo zatwierdził również wniosek Revoluta o utworzenie banku krajowego w USA. Firma planuje uruchomienie amerykańskiego banku w pierwszej połowie 2027 roku.
Skala działalności sprawia, że bezpieczeństwo danych staje się dla Revoluta coraz ważniejszym elementem reputacji. Szczególnie że firma rozwija się już nie tylko jako aplikacja do wymiany walut, ale jako pełnoprawna instytucja finansowa.
To nie jest klasyczny „włam” do Revoluta
Warto więc zachować proporcje. Z dostępnych informacji nie wynika, że cyberprzestępcy włamali się do infrastruktury Revoluta i masowo wykradli bazę klientów.
Mechanizm był inny: przestępcy wykorzystali podszywanie się pod prawdziwą instytucję rządową, a Revolut przekazał dane w odpowiedzi na fałszywe żądania.
Nie zmienia to jednak faktu, że ujawnienie dokumentów tożsamości, historii transakcji czy zdjęć weryfikacyjnych może mieć poważne konsekwencje dla osób objętych incydentem.
Na razie nie wiadomo, czy wśród poszkodowanych znajdują się klienci z Polski. Revolut nie ujawnił kraju, którego dotyczył incydent.
Dla użytkowników najważniejsza informacja jest więc na razie taka: nie ma informacji o naruszeniu środków klientów ani o włamaniu do systemów bankowych Revoluta, ale część danych osobowych niektórych klientów została przekazana nieuprawnionej osobie w wyniku oszustwa.
Foto: DepositPhotos.