Revolut potwierdził, że oszuści nakłonili platformę do przekazania danych klientów, w tym informacji, które według własnych komunikatów firmy obejmowały dane z paszportów, selfie weryfikacyjne i zapisy transakcji Bitcoinem.
Prośba przyszła z adresu e-mail w prawdziwej domenie agencji rządowej i zawierała prawidłowe dane uwierzytelniające. Revolut uznał ją za autentyczną i przekazał dane.
Co według Revolut się wydarzyło
Rzecznik Revolut powiedział serwisowi BeInCrypto, że bank zablokował nadawcę, gdy tylko zauważył problem.
„Revolut niedawno wykrył wyrafinowany atak polegający na podszywaniu się pod podmiot zewnętrzny, w ramach którego nieupoważniona osoba trzecia wykorzystała adres e-mail w domenie prawdziwej agencji rządowej do składania fałszywych wniosków o udostępnienie informacji… Systemy Revolut i środki klientów nie ucierpiały”.
Firma twierdzi, że powiadomiła agencję, policję oraz organy nadzorujące ochronę danych i rynek finansowy. Skontaktowała się z osobami, które określa jako niewielką grupę poszkodowanych.
Czy konta Revolut są bezpieczne?
Revolut zapewnia, że konta pozostają bezpieczne. To prawda. Bank powiedział serwisowi BeInCrypto, że nie ujawniono kodów dostępu, danych logowania ani danych biometrycznych. Żadne pieniądze nie zmieniły właściciela.
Powiadomienia wysłane klientom przedstawiają sprawę inaczej. Wynika z nich, że selfie weryfikacyjne zostało przekazane, a wykluczono jedynie ujawnienie biometrycznych danych telemetrycznych twarzy, czyli wzorca twarzy tworzonego przez system na podstawie zdjęcia. Samo zdjęcie to już inna sprawa.
Pozostałe dane wymieniono w tych komunikatach: paszporty, prawa jazdy, adresy zamieszkania, wyciągi bankowe. Pełny zapis wpływów i wypływów Bitcoinów.
Revolut nie ujawni, z jakiej domeny agencji skorzystano, powołując się na trwające śledztwo policyjne. Nikt spoza firmy nie wie więc, czy przejęto rządową skrzynkę pocztową, czy też ktoś, kto już miał do niej dostęp, nacisnął „Wyślij”.
Śledczy zajmujący się blockchainem ZachXBT, który zawodowo tropi skradzione kryptowaluty, zwrócił uwagę na wyciek, podkreślając, że dotyczył niewielkiej grupy użytkowników i wyglądał na wymierzony w osoby zamożne.
Skradzione listy klientów po naruszeniach bezpieczeństwa zwiększały ryzyko ataków phishingowych. Ujawnienie adresów zamieszkania poprzedzało już brutalne napaści na posiadaczy kryptowalut.
Revolut określił to jako wyrafinowany atak. Jednak według własnej relacji firmy napastnik wykorzystał legalny rządowy system poczty elektronicznej, by wysłać fałszywą prośbę. Revolut uznał ją za autentyczną i przekazał dane.
Źródło: BeInCrypto
