Revolut a divulgat date sensibile după o solicitare aparent oficială. Ce au descoperit ulterior

Revolut a confirmat o breșă de securitate care a dus la divulgarea unor date cu caracter personal ale unor clienți către o terță parte neautorizată. Compania a transmis informațiile după ce a primit solicitări frauduloase expediate de pe un domeniu de e-mail legitim aparținând unei agenții guvernamentale.

Un domeniu guvernamental, folosit într-o fraudă care a vizat Revolut. Ce date au fost expuse

Incidentul a fost provocat de o operațiune de uzurpare de identitate, prin care autorii solicitărilor au folosit adresa de e-mail asociată unui domeniu oficial pentru a determina compania să furnizeze informații despre clienți. Revolut a precizat ulterior că solicitările nu proveneau, în realitate, de la agenția guvernamentală respectivă.

Printre informațiile transmise s-au aflat date de identificare și de contact ale clienților. Acestea au inclus data nașterii, adresele poștale și de e-mail, numerele de telefon, precum și copii ale unor documente de identitate, printre care pașapoarte și permise de conducere, potrivit unei notificări trimise clienților afectați și analizate de TechCrunch.

Datele care ar fi putut ajunge la partea neautorizată au inclus, de asemenea, selfie-uri utilizate pentru verificarea identității, extrase de cont și istoricul tranzacțiilor. Informațiile au fost menționate de Revolut în notificarea transmisă persoanelor afectate de incident.

Revolut spune că numărul clienților afectați este limitat

Un purtător de cuvânt al Revolut a confirmat pentru TechCrunch că incidentul a vizat un număr „limitat” de clienți și a precizat că persoanele afectate au fost contactate direct de companie. Revolut nu a comunicat însă numărul exact al clienților ale căror date au fost divulgate.

Compania nu a precizat dacă incidentul a fost limitat la o anumită piață și nici nu a dezvăluit numele agenției guvernamentale al cărei domeniu de e-mail a fost utilizat pentru transmiterea solicitărilor frauduloase. Informațiile disponibile public nu indică, astfel, amploarea exactă a incidentului în funcție de țară.

„Revolut a identificat recent o escrocherie externă sofisticată de uzurpare de identitate, în care o terță parte neautorizată a utilizat adresa de e-mail a unui domeniu legitim al unei agenții guvernamentale pentru a trimite solicitări frauduloase de informații”, a declarat purtătorul de cuvânt.

După identificarea fraudei, Revolut a blocat adresa de e-mail folosită în solicitările respective și a notificat agenția guvernamentală relevantă. Compania a mai anunțat că a informat organele de drept și autoritățile de reglementare cu privire la incident.

Compania susține că sistemele și fondurile clienților nu au fost afectate

Revolut a transmis că incidentul a vizat divulgarea unor informații către o parte neautorizată, însă nu a afectat funcționarea sistemelor sale sau fondurile clienților. „Sistemele Revolut și fondurile clienților nu sunt afectate”, a precizat compania.

Un purtător de cuvânt al Revolut a declarat pentru Reuters că măsurile luate după descoperirea incidentului au inclus blocarea adresei utilizate în solicitările frauduloase și notificarea mai multor instituții competente.

„Imediat ce am detectat incidentul, am blocat adresa și am alertat agenția guvernamentală relevantă, precum și autoritățile de aplicare a legii, autoritățile de protecție a datelor și autoritățile de reglementare financiară”, a declarat un purtător de cuvânt al companiei Revolut pentru Reuters

Incidentul a atras atenția și cercetătorului în securitate criptografică ZachXBT, care a publicat vineri seară informații despre mesajul transmis de Revolut clienților afectați. Potrivit acestuia, datele disponibile indică faptul că printre persoanele vizate s-ar fi aflat utilizatori cu averi nete ridicate.

Incidentul survine în perioada de extindere internațională a Revolut

Revolut are sediul la Londra și numără peste 80 de milioane de clienți la nivel global, potrivit informațiilor publicate pe site-ul companiei. Fintech-ul operează ca bancă în peste 30 de țări și și-a extins în ultima perioadă activitatea pe piețe precum India, Mexic, Franța și Emiratele Arabe Unite.

Compania și-a consolidat, de asemenea, poziția pe piața bancară europeană și internațională prin obținerea unor licențe bancare în Franța și Marea Britanie în ultimele luni. Extinderea operațiunilor vine pe fondul creșterii bazei de clienți și al dezvoltării serviciilor financiare oferite de companie.

La începutul acestei luni, Biroul Controlorului Monedei din Statele Unite a acordat Revolut o aprobare condiționată pentru înființarea unei bănci naționale în SUA. Compania estimează că noua operațiune bancară americană ar putea fi lansată în prima jumătate a anului 2027.

În paralel cu extinderea internațională, Revolut analizează, potrivit informațiilor disponibile, posibilitatea unei listări publice. O eventuală ofertă publică inițială ar putea evalua compania la până la 200 de miliarde de dolari, comparativ cu evaluarea privată de 75 de miliarde de dolari stabilită în luna noiembrie.

ZachXBT spune că incidentul ar fi vizat utilizatori cu averi mari

Cercetătorul în domeniul securității criptomonedelor ZachXBT a atras atenția asupra notificării transmise de Revolut clienților afectați și a indicat că incidentul pare să fi vizat în principal utilizatori cu averi semnificative.

Revolut nu a oferit însă informații privind valoarea activelor deținute de clienții afectați și nici nu a confirmat public că persoanele vizate au fost selectate în funcție de averea lor. Compania a comunicat doar că numărul persoanelor afectate este „limitat”.

Datele divulgate potențial în urma solicitărilor frauduloase includ informații de identificare, date de contact și documente utilizate pentru verificarea identității. Notificarea transmisă clienților menționează, de asemenea, posibilitatea ca printre date să se fi aflat selfie-uri de verificare, extrase de cont și istoricul tranzacțiilor.

Revolut a precizat că a contactat direct clienții afectați și că a notificat autoritățile relevante după descoperirea incidentului. Compania nu a făcut public numărul exact al persoanelor vizate și nu a identificat agenția guvernamentală al cărei domeniu de e-mail a fost utilizat în operațiunea de uzurpare de identitate.