Revolut potwierdza wyciek danych klientów po ataku z użyciem sfałszowanych żądań prawnych

Brytyjska firma technologiczna Revolut oficjalnie potwierdziła, że doszło do wycieku danych osobowych części klientów. Przyczyną incydentu było udane oszustwo, w którym cyberprzestępcy wykorzystali sfałszowane pilne żądania prawne od organów ścigania, aby uzyskać dostęp do poufnych informacji.

Atakujący stworzyli fałszywe dokumenty, e-maile i elektroniczne poświadczenia, które imitowały oficjalne pisma od organów rządowych lub ścigania. Te sfałszowane żądania zostały wysłane do zespołu zajmującego się przetwarzaniem wniosków o dostęp do danych w Revolut. Ze względu na wysoką wiarygodność wizualną i formalną tych dokumentów, pracownicy ds. wsparcia i zgodności z przepisami dokonali błędnej oceny sytuacji podczas weryfikacji. W konsekwencji, działając zgodnie z procedurami, uwolnili dane dotyczące niektórych kont.

Wyciek obejmuje podstawowe dane identyfikacyjne poszkodowanych klientów, takie jak pełne imię i nazwisko, adres e-mail, numer telefonu oraz część historii transakcji i metadanych konta. Firma podkreśla, że najistotniejsze dane finansowe, w tym hasła logowania, kody PIN i numery kart bankowych, nie zostały naruszone. Środki finansowe klientów pozostają w pełni bezpieczne, a podstawowa architektura szyfrowania systemu nie została technicznie złamana.

Po wykryciu nietypowych wzorców przepływu danych przez wewnętrzne mechanizmy bezpieczeństwa, Revolut natychmiast uruchomił procedury awaryjne. Firma zablokowała łańcuch ataku i przeprowadziła retrospektywny audyt wszystkich oczekujących oraz historycznych wniosków o współpracę z organami ścigania. Incydent został zgłoszony odpowiednim krajowym organom ochrony danych oraz służbom ścigania. Revolut współpracuje obecnie z ekspertami ds. cyberbezpieczeństwa, aby ustalić tożsamość grupy stojącej za fałszywymi żądaniami.

Zdarzenie ujawnia nowe ryzyko ataków socjotechnicznych skierowanych przeciwko firmom fintech. Przestępcy omijają techniczne bariery, takie jak zapory sieciowe, atakując bezpośrednio nie techniczne kanały zgodności z prawem. W odpowiedzi na to zagrożenie, Revolut ogłosił, że przebudowuje system weryfikacji żądań prawnych. Firma wprowadza surowsze mechanizmy wielostronnej weryfikacji offline oraz ulepsza automatyczne procesy przeciwdziałania oszustwom i wzajemnej weryfikacji poświadczeń. Poszkodowani użytkownicy otrzymali indywidualne powiadomienia o bezpieczeństwie. Firma zaleca im zachowanie ostrożności i uważne weryfikowanie prób wtórnych ataków phishingowych lub oszustw SMS-owych podających się za oficjalną obsługę klienta.