Według raportu Revolut ujawnił dane paszportowe i zapisy dotyczące Bitcoina po fałszywym wniosku władz

Badacz aktywności w łańcuchu bloków ZachXBT ujawnił dziś wcześniej, że Revolut przekazał wysoce wrażliwe dane osobowe i finansowe niektórych klientów po otrzymaniu prośby, która wyglądała na autentyczne zapytanie od władz.

Firma wysłała e-maile do poszkodowanych użytkowników, przyznając, że ujawnione dane obejmowały paszporty, selfie przesłane w celu weryfikacji, adresy oraz pełną historię transakcji Bitcoin.

Jakie dane ujawniono

W e-mailu wysłanym do klientów i opublikowanym przez ZachXBT na jego kanale Telegram Revolut wyjaśnił, że otrzymał prośbę o udostępnienie informacji, która wyglądała na pochodzącą od prawdziwej instytucji rządowej. Nadawca nie podszywał się jedynie pod adres wyglądający na oficjalny. Firma dodała, że prośba przyszła z nieautoryzowanego konta e-mail korzystającego z rzeczywistej domeny pocztowej instytucji rządowej i zawierała prawidłowe dane uwierzytelniające domenę.

Revolut spełnił tę prośbę, wierząc, że jest uzasadniona. Ujawnione informacje mogły obejmować pełne imiona i nazwiska, daty urodzenia, zawody, adresy zamieszkania, adresy e-mail i numery telefonów niektórych klientów. Wśród bardziej wrażliwych danych znalazły się kopie paszportów i/lub praw jazdy oraz zdjęcia selfie przekazane przez klientów podczas procesu weryfikacji. Dobra wiadomość jest taka, że według firmy nie doszło do naruszenia samych biometrycznych danych telemetrycznych twarzy.

Firma poinformowała jednak, że przekazała informacje finansowe, w tym wyciągi z kont zawierające numery IBAN, daty otwarcia kont i numery referencyjne portfeli, a także rejestry wypłat oraz pełną historię transakcji, w tym transakcji BTC.

Jak dotąd Revolut nie podał publicznie nazwy zaangażowanej agencji rządowej, a zawiadomienie wysłane do klientów nie wskazuje, czy uzyskano dostęp do haseł, kluczy prywatnych lub ich środków.

Wymierzone w bogatych?

Analityk blockchain opisał incydent jako „prawdopodobnie ograniczony pod względem skali”, ponieważ wyglądało na to, że sprawcy skupili się wyłącznie na użytkownikach o wysokich dochodach. Nie zostało to jednak potwierdzone ani niezależnie, ani przez sam Revolut. Ponadto firma nie ujawniła faktycznej liczby klientów, których dotyczył incydent.

Na podstawie informacji dostępnych w chwili publikacji incydent wygląda na nieuprawnione ujawnienie danych, a nie bezpośrednie naruszenie infrastruktury Revoluta. Sama firma instruuje instytucje rządowe i organy ścigania, by składały oficjalne wnioski o udostępnienie informacji za pośrednictwem specjalnego kanału.

Źródło: CryptoPotato