Breșă de securitate la Revolut: documente de identitate și istorice complete de tranzacții au ajuns în mâinile hackerilor

Revolut s-a confruntat o breșă de securitate în urma căreia date extrem de sensibile ale unor clienți au fost divulgate, după ce compania a răspuns unui e-mail fraudulos care imita o solicitare oficială venită din partea unei agenții guvernamentale.

Sediul Revolut din Londra Foto: Revolut

Incidentul a expus documente KYC (`Know Your Customer”/ „Cunoaște-ți clientul” - sintagma folosit în legislația financiară internațională pentru procedurile de verificare a identității pe care băncile) și informații financiare detaliate pentru un număr limitat de utilizatori, potrivit Cyber Security News.

Compania britanică a subliniat că nu a existat o compromitere a sistemelor interne, a aplicației sau a conturilor clienților.

Cum a căzut Revolut în capcana hackerilor

Revolut a explicat că atacatorii au folosit o adresă de e-mail neautorizată, dar înregistrată sub domeniul unei instituții oficiale, ceea ce a făcut ca solicitarea să treacă verificările de autentificare. În aceste condiții, Revolut a considerat că gestionează o cerere legitimă și a furnizat datele solicitate.

Informațiile transmise au inclus nume complete, date de naștere, ocupații, adrese, e-mailuri și numere de telefon. Au fost expuse și copii ale documentelor de identitate, precum pașapoarte și permise, alături de imaginile folosite la verificarea facială în procesul de onboarding.

Compania Revolut a precizat însă că datele biometrice propriu-zise nu au fost compromise, însă pierderea documentelor scanate și a selfie-urilor de verificare poate genera riscuri serioase de furt de identitate.

Pe partea financiară, au fost divulgate extrase de cont cu IBAN-uri, informații despre statusul conturilor, datele de deschidere, referințe de portofel, istorice de retrageri și tranzacții complete. Problema datelor privind activitatea în Bitcoin este considerată deosebit de sensibilă, deoarece poate permite atacatorilor să identifice profilul financiar al victimelor și să pregătească tentative de fraudă țintite.

Revolut a descris incidentul ca pe un atac sofisticat de tip social engineering, nu ca pe o breșă a infrastructurii interne. Compania afirmă că a blocat rapid sursa e-mailului fraudulos, a notificat autoritățile și clienții afectați și că fondurile utilizatorilor nu au fost în pericol.

Breșa a reaprins discuțiile despre vulnerabilitățile generate de colectarea obligatorie a datelor KYC în sectorul bancar, fintech și crypto. Investigatorul on-chain ZachXBT și alți membri ai comunității cripto au semnalat că operațiunea ar fi vizat în special utilizatori cu patrimoniu ridicat, expuși unor riscuri sporite precum phishing avansat, SIM swapping, extorcare sau furturi de criptomonede.