Revolut ने एक धोखाधड़ी वाले अनुरोध पर कार्रवाई करने के बाद ग्राहकों की पहचान और वित्तीय रिकॉर्ड, जिसमें बिटकॉइन लेनदेन का इतिहास भी शामिल है, का खुलासा किया है, जो एक सरकारी एजेंसी से आया प्रतीत हुआ।

ऑन-चेन अन्वेषक ZachXBT द्वारा टेलीग्राम पर साझा किए गए एक Revolut ग्राहक नोटिस के अनुसार, यह अनुरोध एक अनाधिकृत ईमेल खाते से आया था जिसने एक आधिकारिक सरकारी एजेंसी के डोमेन का उपयोग किया था। संदेश डोमेन प्रमाणीकरण जांचों में खरा उतरा, और Revolut ने कहा कि जानकारी प्रदान करते समय उसे विश्वास था कि यह अनुरोध वास्तविक था।

नोटिस में एजेंसी का नाम नहीं बताया गया है और न ही यह बताया गया है कि अनाधिकृत प्रेषक ने उसके ईमेल डोमेन तक पहुंच कैसे प्राप्त की। इसमें अनुरोध या प्रकटीकरण की कोई तारीख भी नहीं दी गई है। ZachXBT ने कहा कि कई ग्राहकों को शुक्रवार, 11 सितंबर को एक अलर्ट ईमेल प्राप्त हुआ था, लेकिन उनके या उनके पोस्ट में दिखाए गए नोटिस के हिस्से में प्रभावित उपयोगकर्ताओं की पुष्टि की गई संख्या नहीं थी।

Revolut तक नकली अनुरोध कैसे पहुंचा

घटना के अपने विवरण में, Revolut ने कहा कि ईमेल एक वैध सरकारी अनुरोध प्रतीत होता था क्योंकि इसमें वैध डोमेन प्रमाणीकरण क्रेडेंशियल थे। अनुरोध सीधे एजेंसी के आधिकारिक ईमेल डोमेन का उपयोग करने वाले एक अनाधिकृत खाते से भेजा गया था, न कि ऐसे पते से जो इसके समान दिखने के लिए बनाया गया हो।

नोटिस में कहा गया है, "चूंकि संचार में वैध डोमेन प्रमाणीकरण क्रेडेंशियल थे, इसलिए यह उचित विश्वास के तहत पूरा किया गया था कि यह एक प्रामाणिक सरकारी एजेंसी का अनुरोध था।"

शब्दों से एक भ्रामक अनुरोध के जवाब में किए गए एक अनाधिकृत प्रकटीकरण का वर्णन होता है। नोटिस में यह नहीं कहा गया है कि किसी घुसपैठिए ने Revolut के सिस्टम में प्रवेश किया, ग्राहक खातों तक पहुंच बनाई या धन निकाला। इसमें उस व्यक्ति की पहचान नहीं बताई गई है जिसने अनुरोध भेजा था और न ही यह बताया गया है कि एजेंसी ने अपने ईमेल खाते के उपयोग की जांच की है या नहीं।

ZachXBT ने इस घटना को आकार में सीमित बताया और कहा कि इसने उच्च-निवल-मूल्य वाले उपयोगकर्ताओं को लक्षित किया होगा। स्क्रीनशॉट में दिखाए गए Revolut के नोटिस में न तो प्रभावित समूह के आकार की पुष्टि की गई है और न ही यह बताया गया है कि ग्राहकों का चयन कैसे किया गया था।

Revolut का कहना है कि उसने क्या खुलासा किया

Revolut ने प्रदान किए गए पहचान विवरणों में ग्राहकों के पूरे नाम, जन्मतिथि और व्यवसाय सूचीबद्ध किए। संपर्क जानकारी में डाक पते, ईमेल पते और टेलीफोन नंबर शामिल थे।

इस अनुरोध के परिणामस्वरूप पहचान दस्तावेजों, जैसे पासपोर्ट या ड्राइविंग लाइसेंस की प्रतियों का भी खुलासा हुआ, साथ ही ग्राहकों द्वारा पहचान जांच के लिए प्रदान की गई सेल्फी भी। Revolut ने उन छवियों और बायोमेट्रिक फेशियल टेलीमेट्री डेटा के बीच अंतर किया, जिसके बारे में उसने कहा कि यह शामिल नहीं था।

खाते के विवरण भी उजागर की गई सामग्री का एक और हिस्सा थे। नोटिस के अनुसार, विवरण में IBAN, खाते की स्थिति, खाता खोलने की तारीखें और बिटकॉइन वॉलेट संदर्भ संख्याएँ शामिल थीं। निकासी रिकॉर्ड और पूर्ण लेनदेन इतिहास, जिसमें बिटकॉइन लेनदेन भी शामिल था, भी प्रदान किए गए थे।

नोटिस में उन सूचनाओं की श्रेणियों को सूचीबद्ध किया गया है जिनका खुलासा किया गया हो सकता है; यह स्थापित नहीं करता है कि हर प्रभावित ग्राहक के पास हर तरह का रिकॉर्ड फाइल में था। न ही यह कहता है कि वॉलेट निजी कुंजी, खाते के पासवर्ड या पूर्ण भुगतान कार्ड विवरण शामिल थे। बिटकॉइन लेनदेन का इतिहास क्रिप्टो उपयोगकर्ताओं के लिए विशेष रूप से प्रासंगिक है क्योंकि नोटिस उन्हें अनाधिकृत अनुरोधकर्ता को भेजी गई जानकारी में नामों और अन्य खाते के रिकॉर्ड के साथ रखता है।

अगस्त में कंपनी की घोषणा के अनुसार, Revolut वैश्विक स्तर पर 80 मिलियन से अधिक ग्राहकों को सेवा प्रदान करता है। यह ग्राहक संख्या उसके व्यवसाय के आकार का वर्णन करती है, न कि इस प्रकटीकरण से प्रभावित संख्या का।

रिकॉर्ड का प्रभावित ग्राहकों के लिए क्या मतलब हो सकता है

यूके सूचना आयुक्त कार्यालय का कहना है कि व्यक्तिगत डेटा उल्लंघन के संभावित परिणामों में पहचान की चोरी, धोखाधड़ी और वित्तीय नुकसान शामिल हैं। इसकी उल्लंघन मार्गदर्शन में शामिल जानकारी और व्यक्तियों को होने वाले संभावित नुकसान के आकलन का आह्वान किया गया है; यह स्थापित नहीं करता है कि Revolut घटना में किसी को भी ये परिणाम भुगतने पड़े हैं।

जिस ग्राहक के पहचान दस्तावेज़ और लेनदेन रिकॉर्ड दोनों का खुलासा किया गया था, उसके लिए नोटिस इंगित करता है कि प्राप्तकर्ता को उस व्यक्ति के वित्त का विस्तृत विवरण प्राप्त हो सकता था। धनी उपयोगकर्ताओं को लक्षित किए जाने के बारे में ZachXBT का दावा दिखाए गए सामग्री में Revolut द्वारा पुष्टि नहीं किया गया है, और रिकॉर्ड के किसी भी बाद के दुरुपयोग का वहां दस्तावेजीकरण नहीं किया गया है।

नियामक का मार्गदर्शन यह भी कहता है कि संगठनों को कुछ व्यक्तिगत डेटा उल्लंघनों के बारे में जागरूक होने के 72 घंटों के भीतर रिपोर्ट करना होगा, जहाँ संभव हो, और व्यक्तियों को बिना किसी अनुचित देरी के सूचित करना होगा जब उनके अधिकारों और स्वतंत्रता के लिए जोखिम अधिक हो। स्क्रीनशॉट यह नहीं बताता है कि Revolut ने किसी नियामक को सूचित किया है या कंपनी को अनाधिकृत अनुरोध के बारे में पहली बार कब पता चला।

अपने अमेरिकी सुरक्षा मार्गदर्शन में, Revolut ग्राहकों को यह जांचने के लिए इन-ऐप सपोर्ट चैट का उपयोग करने के लिए कहता है कि क्या कोई संदिग्ध संपर्क वास्तविक है। कंपनी का कहना है कि वह ग्राहकों से फोन पर सत्यापन या सुरक्षा कोड साझा करने के लिए नहीं कहेगी। ZachXBT द्वारा दिखाया गया ग्राहक नोटिस यह रिपोर्ट नहीं करता है कि ऐसे कोड का खुलासा किया गया था।

Revolut के अमेरिकी और क्रिप्टो संचालन

यह घटना Revolut द्वारा अपनी बैंकिंग और डिजिटल-संपत्ति सेवाओं के विस्तार के दौरान हुई है। 26 अगस्त को, कंपनी ने डेनमार्क, पोलैंड और पुर्तगाल में चयनित ग्राहकों को अपनी यूरो-समर्थित EURR स्टेबलकॉइन की पेशकश शुरू की, जिसमें आगे यूरोपीय उपलब्धता की योजना बनाई गई है, जैसा कि crypto.news द्वारा पहले रिपोर्ट किया गया था। स्टेबलकॉइन का रोलआउट ग्राहक-रिकॉर्ड प्रकटीकरण से अलग है।

Revolut की अमेरिकी योजनाएं अमेरिकी पाठकों के लिए संदर्भ प्रदान करती हैं, हालांकि नोटिस में किसी भी प्रभावित ग्राहक को संयुक्त राज्य अमेरिका में होने के रूप में पहचान नहीं की गई है। 3 सितंबर को, कंपनी को मुद्रा नियंत्रक कार्यालय से एक अमेरिकी बैंक के लिए सशर्त अनुमोदन प्राप्त हुआ। इसका प्रस्तावित स्टैमफोर्ड, कनेक्टिकट, बैंक प्रारंभिक पूंजी में लगभग $95 मिलियन प्राप्त करेगा और यदि उसे शेष अनुमोदन प्राप्त हो जाते हैं तो 2027 में खुल सकता है।

फिलहाल, Revolut लीड बैंक के माध्यम से अमेरिकी ग्राहक बैंकिंग सेवाएं प्रदान करता है, पिछली रिपोर्ट के अनुसार। प्रस्तावित राष्ट्रीय बैंक को खुलने से पहले संघीय जमा बीमा निगम से जमा बीमा, फेडरल रिजर्व से अनुमोदन और अंतिम OCC प्राधिकरण की अभी भी आवश्यकता है।