Ibinunyag ng Revolut ang mga pagkakakilanlan ng customer at mga talaan ng pananalapi, kabilang ang mga kasaysayan ng transaksyon ng Bitcoin, matapos kumilos sa isang mapanlinlang na kahilingan na tila nagmula sa isang ahensya ng gobyerno.

Ayon sa isang abiso ng customer ng Revolut na ibinahagi sa Telegram ng on-chain investigator na si ZachXBT, nagmula ang kahilingan sa isang hindi awtorisadong email account na gumamit ng domain ng isang opisyal na ahensya ng gobyerno. Nalagpasan ng mensahe ang mga pagsusuri sa domain authentication, at sinabi ng Revolut na pinaniwalaan nilang totoo ang kahilingan nang ibigay nila ang impormasyon.

Hindi pinangalanan ng abiso ang ahensya o sinabi kung paano nakakuha ng access ang hindi awtorisadong nagpadala sa email domain nito. Wala rin itong ibinigay na petsa para sa kahilingan o sa pagbubunyag. Sinabi ni ZachXBT na maraming customer ang nakatanggap ng alert email noong Biyernes, Setyembre 11, ngunit hindi siya o ang bahagi ng abiso na ipinakita sa kanyang post ang nagbigay ng kumpirmadong bilang ng mga apektadong user.

Paano nakarating ang pekeng kahilingan sa Revolut

Sa paglalarawan nito sa insidente, sinabi ng Revolut na ang email ay lumabas na isang lehitimong kahilingan ng gobyerno dahil mayroon itong balidong kredensyal sa domain authentication. Direktang ipinadala ang kahilingan mula sa isang hindi awtorisadong account na gumagamit ng opisyal na email domain ng ahensya, sa halip na mula sa isang address na ginawa upang magmukhang katulad nito.

“Dahil may balidong kredensyal sa domain authentication ang komunikasyon, isinakatuparan ito sa makatuwirang paniniwala na ito ay isang tunay na kahilingan ng ahensya ng gobyerno,” ayon sa abiso.

Inilalarawan ng pananalita ang isang hindi awtorisadong pagbubunyag na ginawa bilang tugon sa isang mapanlinlang na kahilingan. Hindi sinasabi ng abiso na pumasok ang isang nanghihimasok sa mga sistema ng Revolut, na-access ang mga account ng customer o nag-withdraw ng pondo. Hindi nito tinutukoy ang taong nagpadala ng kahilingan o sinasabi kung iniimbestigahan ng ahensya ang paggamit ng email account nito.

Inilarawan ni ZachXBT ang insidente bilang posibleng limitado ang laki at sinabing tila target nito ang mga user na may mataas na net worth. Ang abiso ng Revolut, tulad ng ipinapakita sa screenshot, ay hindi kinukumpirma ang laki ng apektadong grupo o kung paano pinili ang mga customer.

Ano ang sinasabi ng Revolut na ibinunyag nito

Inilista ng Revolut ang buong pangalan ng mga customer, mga petsa ng kapanganakan, at mga trabaho sa mga ibinigay na detalye ng pagkakakilanlan. Kasama sa impormasyon ng contact ang mga postal address, email address, at numero ng telepono.

Nagresulta din ang kahilingan sa pagbubunyag ng mga kopya ng mga dokumento ng pagkakakilanlan, tulad ng mga pasaporte o lisensya sa pagmamaneho, kasama ang mga selfie na ibinigay ng mga customer para sa mga pagsusuri sa pagkakakilanlan. Nagbigay ng pagkakaiba ang Revolut sa pagitan ng mga larawang iyon at biometric facial telemetry data, na sinabi nitong hindi kasama.

Ang mga statement ng account ay bumubuo ng isa pang bahagi ng ibinunyag na materyal. Ayon sa abiso, kasama sa mga statement ang mga IBAN, status ng account, mga petsa ng pagbubukas ng account, at mga reference number ng Bitcoin wallet. Ibinigay din ang mga talaan ng withdrawal at buong kasaysayan ng transaksyon, kabilang ang mga transaksyon sa Bitcoin.

Nakalista sa abiso ang mga kategorya ng impormasyon na maaaring naibunyag; hindi nito itinatatag na bawat apektadong customer ay mayroong bawat uri ng talaan sa file. Hindi rin nito sinasabi na kasama ang mga wallet private key, account password o buong detalye ng payment card. Ang mga kasaysayan ng transaksyon ng Bitcoin ay partikular na mahalaga sa mga user ng crypto dahil inilalagay sila ng abiso kasama ng mga pangalan at iba pang talaan ng account sa impormasyon na ipinadala sa hindi awtorisadong humiling.

Nagbibigay serbisyo ang Revolut sa mahigit 80 milyong customer sa buong mundo, ayon sa anunsyo ng kumpanya noong Agosto. Ang bilang ng customer na iyon ay naglalarawan ng laki ng negosyo nito, hindi ang bilang na apektado ng pagbubunyag na ito.

Ano ang maaaring kahulugan ng mga talaan para sa mga apektadong customer

Sinabi ng UK Information Commissioner’s Office na ang posibleng kahihinatnan ng isang personal data breach ay kinabibilangan ng pagnanakaw ng identidad, pandaraya, at pagkalugi sa pananalapi. Ang gabay nito sa breach ay nananawagan para sa isang pagtatasa ng impormasyong kasangkot at ang posibleng pinsala sa mga indibidwal; hindi nito itinatatag na may sinuman ang nagdusa ng mga resulta sa insidente ng Revolut.

Para sa isang customer na ang dokumento ng pagkakakilanlan at mga talaan ng transaksyon ay parehong naibunyag, ipinahihiwatig ng abiso na ang nakatanggap ay maaaring nakakuha ng detalyadong account ng pananalapi ng taong iyon. Ang pahayag ni ZachXBT tungkol sa pagiging target ng mga mayayamang user ay hindi nakumpirma ng Revolut sa ipinakitang materyal, at walang dokumentadong kasunod na maling paggamit ng mga talaan doon.

Sinasabi rin ng gabay ng regulator na ang mga organisasyon ay dapat mag-ulat ng ilang personal data breaches sa loob ng 72 oras mula nang malaman ang mga ito, kung posible, at abisuhan ang mga indibidwal nang walang labis na pagkaantala kapag mataas ang panganib sa kanilang mga karapatan at kalayaan. Hindi sinasabi ng screenshot kung inabisuhan na ng Revolut ang isang regulator o kung kailan unang nalaman ng kumpanya ang hindi awtorisadong kahilingan.

Sa gabay nito sa seguridad sa U.S., sinasabi ng Revolut sa mga customer na gamitin ang in-app support chat upang suriin kung tunay ang isang kahina-hinalang contact. Sinabi ng kumpanya na hindi ito hihingi sa mga customer na ibahagi ang mga verification o security code sa telepono. Ang abiso ng customer na ipinakita ni ZachXBT ay hindi nag-uulat na ibinunyag ang gayong mga code.

Mga Operasyon ng Revolut sa U.S. at Crypto

Ang insidente ay nangyari habang pinalalawak ng Revolut ang mga serbisyo nito sa pagbabangko at digital-asset. Noong Agosto 26, sinimulan ng kumpanya ang pag-aalok ng euro-backed EURR stablecoin nito sa mga piling customer sa Denmark, Poland, at Portugal, na may karagdagang availability sa Europa na pinaplano, gaya ng naunang naiulat ng crypto.news. Ang paglulunsad ng stablecoin ay hiwalay sa pagbubunyag ng talaan ng customer.

Ang mga plano ng Revolut sa U.S. ay nagbibigay ng konteksto para sa mga mambabasang Amerikano, bagama't hindi tinutukoy ng abiso ang sinumang apektadong customer bilang nasa Estados Unidos. Noong Setyembre 3, nakatanggap ang kumpanya ng kondisyonal na pag-apruba para sa isang bangko sa U.S. mula sa Office of the Comptroller of the Currency. Ang ipinapanukalang bangko nito sa Stamford, Connecticut, ay makakatanggap ng humigit-kumulang $95 milyon sa paunang kapital at maaaring magbukas sa 2027 kung makukuha nito ang natitirang mga pag-apruba.

Sa ngayon, nagbibigay ang Revolut ng mga serbisyo sa pagbabangko para sa mga customer ng U.S. sa pamamagitan ng Lead Bank, ayon sa naunang ulat. Ang ipinapanukalang national bank ay kailangan pa rin ng deposit insurance mula sa Federal Deposit Insurance Corporation, pag-apruba ng Federal Reserve, at panghuling awtorisasyon ng OCC bago ito makapagbukas.