Revolut bekrefter datalekkasje etter svindel med falske politirapporter

Den britiske finansaktøren Revolut har bekreftet at en sikkerhetsincident har ført til at personopplysninger om noen kunder har lekket. Angrepet skjedde da hackere brukte falske, presserende juridiske forespørsler fra påståtte myndigheter for å lure selskapets ansatte til å levere dataene.

Angrepet var en form for sosialt ingeniørstikk som målrettet selskapets interne prosesser for juridisk og politisk etterforskning. Hackere sendte ut falske offisielle dokumenter, e-poster og elektroniske legitimasjonssertifikater som så ut som de kom fra lovlige myndigheter. Disse falske dokumentene ble sendt til teamet som behandler slike forespørsler. De ansatte i juridisk avdeling og support misforsto de falske dokumentene som ekte og behandlet dem i henhold til interne retningslinjer, noe som resulterte i at data ble utlevert.

De opplysningene som ble lekket, omfattet grunnleggende personopplysninger om de berørte kundene. Dette inkluderte fullt navn, registrert e-postadresse og telefonnummer. I tillegg ble deler av transaksjonshistorikk og konto-metadata utlevert. Revolut understreker at de mest sensitive finansielle sikkerhetsopplysningene, som påloggingsinformasjon, passord, dynamiske PIN-koder og bankkortnumre, ikke ble berørt. Kundernes midler og eiendeler er trygge, og den underliggende krypteringsarkitekturen i systemet ble ikke teknisk brutt.

Da interne sikkerhetsmekanismer oppdaget unormale datastrømmer, aktiverte Revolut en nødsituasjonsprosess. Selskapet blokkerte angrepskjeden og gjennomførte en omfattende retrospektiv revisjon av alle pågående og historiske politiforespørsler. Revolut har meldt saken til relevante nasjonale datatilsyn og politimyndigheter. Selskapet samarbeider nå med spesialiserte nettverksikkerhetsorganisasjoner for å spore de spesifikke aktørene eller hackergruppene bak de falske forespørslene.

Revolut er i ferd med å omstrukturere sitt system for juridiske etterforskninger for å forhindre at lignende hendelser gjentar seg. Selskapet innfører strengere mekanismer for offline verifisering av flere parter og oppgraderer automatiserte svindelverne- og legitimasjonssertifikatprosessene. Berørte brukere har mottatt sikkerhetsvarsler. Selskapet råder disse brukerne til å være ekstra oppmerksomme på potensielle etterfølgende phishing- eller SMS-svindel som utgir seg for å være offisiell kundestøtte.