Revolut avslører databruddet som eksponerte finansiell informasjon og pass

Fintech selskapet Revolut har avslørt et databrudd etter å ha delt data fra et ikke oppgitt antall kunder med en trusselaktør som utga seg for å være et statlig organ.

Angriperen ba om personidentifiserbar informasjon via e post ved å bruke domenet til et statlig organ. Revolut opplyste til berørte kunder at forespørselen ble etterkommet i den rimelige tro at det var en autentisk forespørsel, ettersom kommunikasjonen hadde gyldige legitimasjonskrav for domeneautentisering.

Informasjonen som ble sendt til trusselaktørene inkluderer identitetsopplysninger som fullt navn, fødselsdato og yrke, samt kontaktopplysninger som postadresse, e postadresse og telefonnummer. Det ble også delt dokumentasjons- og verifiseringsdata, inkludert kopier av identitetspapirer som pass eller førerkort, samt bilder av ansiktet brukt til kundeidentifisering ved åpning av konto.

Det eksponerte materialet inneholder i tillegg kontoutskrifter med IBAN numre, uttakshistorikk og full transaksjonshistorikk, inkludert transaksjoner med Bitcoin. Selskapet har nektet å oppgi det nøyaktige antallet berørte kunder, men hevder at bruddet gjelder et begrenset antall personer. En etterforsker av kryptosvindel har uttalt at bruddet ser ut til å ha vært rettet mot brukere med høy nettoformue.

Revolut opplyste at systemene og kundemidlene ikke er berørt. Ved oppdagelse ble adressen blokkert, og selskapet varslet det relevante statlige organet, håndhevingsmyndigheter, datatilsyn og finansielle regulatorer.