Revolut przekazał wrażliwe dane klientów fałszywym agentom rządowym

man with steel and chainmail armor holding sword — Henry Hustava / Unsplash

Firma Revolut przekazała wrażliwe dane swoich klientów hakerowi, który zdołał podszyć się pod domenę pocztową agencji rządowej.

Incydent wyszedł na jaw w nocy z 11 na 12 września 2026 roku, gdy badacz ZachXBT opublikował w swojej grupie na platformie Telegram powiadomienia otrzymane przez klientów. Rzecznik Revolut potwierdził w oświadczeniu, że firma zidentyfikowała wyrafinowane oszustwo polegające na zewnętrznej kradzieży tożsamości, w którym nieuprawniona strona trzecia wykorzystała adres e-mail z legalnej domeny agencji rządowej do składania fałszywych wniosków o informacje.

Atak nie polegał na włamaniu do systemów Revolut, lecz na błędzie w ocenie autentyczności żądań. Ponieważ wiadomości pochodziły z prawdziwej domeny administracyjnej, przeszły one pomyślnie kontrole uwierzytelniania poczty elektronicznej, w tym protokół DKIM. Zespoły Revolut potraktowały te prośby jako legalne i zgodne z prawem.

Przekazane dane obejmują tożsamość oraz dane kontaktowe klientów, takie jak imiona i nazwiska, daty urodzenia, adresy pocztowe, adresy e-mail oraz numery telefonów. Haker otrzymał również kopie dokumentów tożsamości, paszportów lub praw jazdy. W niektórych przypadkach przekazano także selfie weryfikacyjne, wyciągi z kont oraz historie transakcji.

Z powiadomień dla klientów wynika, że wyciekły także informacje o zawodzie, dane bankowe, w tym numery IBAN, status konta, data jego otwarcia oraz referencje portfeli Bitcoin wraz z pełną historią. Firma przekazała niemal wszystkie posiadane informacje, z wyjątkiem danych biometrycznych.

Revolut twierdzi, że zdarzenie dotyczy ograniczonej liczby klientów, z którymi skontaktowano się bezpośrednio, jednak nie podano dokładnej liczby poszkodowanych osób. Firma nie ujawniła nazwy agencji rządowej, której domena została podszyta, ani nie sprecyzowała, czy incydent ograniczał się do jednego kraju. Trwa dochodzenie, które ma wyjaśnić, w jaki sposób haker uzyskał dostęp do domeny pocztowej.