Revolut potwierdza wysłanie danych paszportu i zapisów Bitcoin na fałszywy rządowy adres e-mail

Revolut potwierdził, iż oszuści wyłudzili dane klientów, w tym informacje, które według komunikatów platformy obejmują paszporty, selfie weryfikacyjne oraz rekordy transakcji Bitcoin.

Żądanie przyszło z prawdziwej domeny emailowej agencji rządowej i miało ważne poświadczenia. Revolut uznał je za autentyczne i przekazał dane.

Co mówi Revolut o całej sytuacji

Rzecznik Revolut powiedział BeInCrypto, iż bank zablokował nadawcę, gdy tylko zauważył problem.

“Revolut niedawno wykrył wyrafinowany zewnętrzny atak podszywający się, gdzie nieautoryzowana osoba wykorzystała email z domeny legalnej agencji rządowej, by złożyć fałszywe żądania informacji… Systemy Revolut oraz środki klientów pozostały nienaruszone.”

Firma informuje, iż powiadomiła agencję, policję oraz organy nadzoru ochrony danych i finansowe. Skontaktowała się też z ograniczoną liczbą osób poszkodowanych.

Czy konta w Revolut są bezpieczne?

Revolut twierdzi, iż konta pozostają bezpieczne. To prawda. Kody dostępu, dane logowania i dane biometryczne nigdy nie były ujawnione, powiedział bank dla BeInCrypto. Żadne pieniądze nie zostały przelane.

Komunikaty wysłane do klientów przedstawiają to inaczej. Informują, iż wysłane zostało selfie weryfikacyjne, wykluczając jedynie telemetrię biometryczną twarzy, czyli szablon twarzy tworzony przez system z fotografii. Sama fotografia stanowi osobny temat.

W tych wiadomościach wymieniono resztę. Paszporty, prawa jazdy, adresy zamieszkania, wyciągi bankowe. Pełny rejestr operacji Bitcoin – wpływów i wypłat.

Revolut przekazał paszporty, dane Bitcoin po fałszywej prośbie rządowej. Źródło: ZachXBT

Revolut nie ujawnia, z której agencji pochodziła domena przez trwające dochodzenie policyjne. Nikt spoza firmy nie wie, czy skrzynkę rządową przejęto, czy też osoba z wewnątrz ją wysłała.

Śledczy blockchain ZachXBT, który zawodowo tropi skradzione krypto, zwrócił uwagę na wyciek, podkreślając, iż dotyczył on niewielkiej grupy użytkowników, najprawdopodobniej zamożnych.

Skradzione listy klientów zwiększały ryzyko phishingu po wyciekach. Ujawnione adresy domowe dawały pretekst do ataków na posiadaczy.

Revolut nazywa tę sytuację wyrafinowanym atakiem. Jednak sam przyznaje, iż atakujący użył legalnej rządowej domeny email, by wysłać fałszywą prośbę. Revolut potraktował ją jak prawdziwą i udostępnił dane.

BeInCrypto Polska - Revolut potwierdza wysłanie danych paszportu i zapisów Bitcoin na fałszywy rządowy adres e-mail