Revolut Kirim Data Sensitif Pelanggan kepada Peretas yang Menyamar sebagai Agen Pemerintah

Revolut telah mengirimkan data sensitif milik pelanggannya kepada seorang peretas setelah pihak tersebut berhasil memalsukan domain surat elektronik dari sebuah agensi pemerintah.

Insiden ini terjadi karena Revolut menerima permintaan informasi yang tampak berasal dari domain surat elektronik resmi administrasi pemerintah. Hal ini menyebabkan permintaan tersebut lolos dari pemeriksaan autentikasi surat elektronik, sehingga tim Revolut memproses permintaan itu sebagai permintaan yang sah dan legal.

Seorang juru bicara Revolut menjelaskan bahwa perusahaan telah mengidentifikasi penipuan penyamaran identitas eksternal yang canggih, di mana pihak ketiga yang tidak berwenang menggunakan alamat surat elektronik dari domain agensi pemerintah yang sah untuk mengajukan permintaan informasi palsu. Peristiwa ini bukan merupakan hasil dari penyusupan ke dalam sistem Revolut, melainkan kesalahan penilaian dalam menangani permintaan tersebut.

Data yang dikirimkan mencakup identitas dan detail kontak pelanggan, seperti nama, tanggal lahir, alamat pos, alamat surat elektronik, dan nomor telepon. Selain itu, Revolut juga mengirimkan salinan dokumen identitas, paspor, atau surat izin mengemudi. Dalam beberapa kasus, perusahaan kemungkinan telah mengirimkan swafoto verifikasi, rekening koran, dan riwayat transaksi.

Informasi lain yang dilaporkan telah dikirimkan meliputi profesi, detail perbankan seperti IBAN, status akun, tanggal pembukaan akun, serta referensi dompet Bitcoin yang dikaitkan dengan riwayat lengkap. Revolut hampir mengirimkan semua data yang dimilikinya, kecuali data biometrik.

Revolut menyatakan bahwa jumlah pelanggan yang terdampak terbatas dan telah dihubungi secara langsung, namun jumlah pastinya tidak disebutkan. Perusahaan tidak mengungkapkan nama administrasi yang domain surat elektroniknya dipalsukan, dan tidak diperinci apakah insiden ini terbatas pada satu negara tertentu. Penyelidikan sedang berlangsung untuk menentukan bagaimana peretas mendapatkan akses ke domain surat elektronik tersebut.