Revolut telah mengungkapkan identitas pelanggan dan catatan keuangan, termasuk riwayat transaksi Bitcoin, setelah menindaklanjuti permintaan penipuan yang tampaknya berasal dari lembaga pemerintah.
Menurut pemberitahuan pelanggan Revolut yang dibagikan di Telegram oleh penyelidik on-chain ZachXBT, permintaan tersebut berasal dari akun email tidak sah yang menggunakan domain lembaga pemerintah resmi. Pesan tersebut lolos pemeriksaan otentikasi domain, dan Revolut mengatakan pihaknya percaya permintaan itu asli ketika memberikan informasi tersebut.
Pemberitahuan tersebut tidak menyebutkan nama lembaga atau bagaimana pengirim tidak sah mendapatkan akses ke domain emailnya. Pemberitahuan tersebut juga tidak memberikan tanggal permintaan atau pengungkapan tersebut. ZachXBT mengatakan beberapa pelanggan menerima email peringatan pada hari Jumat, 11 September, tetapi baik dia maupun bagian pemberitahuan yang ditampilkan dalam unggahannya tidak memberikan jumlah pasti pengguna yang terpengaruh.
Dalam penjelasannya tentang insiden tersebut, Revolut mengatakan email tersebut tampak seperti permintaan pemerintah yang sah karena membawa kredensial otentikasi domain yang valid. Permintaan tersebut dikirim langsung dari akun tidak sah yang menggunakan domain email resmi lembaga tersebut, bukan dari alamat yang dibuat agar terlihat mirip.
"Karena komunikasi tersebut membawa kredensial otentikasi domain yang valid, permintaan tersebut dipenuhi di bawah keyakinan yang wajar bahwa itu adalah permintaan lembaga pemerintah yang otentik," demikian bunyi pemberitahuan tersebut.
Perkataan tersebut menggambarkan pengungkapan tidak sah yang dilakukan sebagai tanggapan atas permintaan yang menipu. Pemberitahuan tersebut tidak mengatakan bahwa penyusup masuk ke sistem Revolut, mengakses akun pelanggan, atau menarik dana. Pemberitahuan tersebut tidak mengidentifikasi orang yang mengirim permintaan atau mengatakan apakah lembaga tersebut telah menyelidiki penggunaan akun emailnya.
ZachXBT menggambarkan insiden tersebut kemungkinan terbatas dalam ukuran dan mengatakan tampaknya telah menargetkan pengguna dengan kekayaan bersih tinggi. Pemberitahuan Revolut, seperti yang ditunjukkan dalam tangkapan layar, tidak mengkonfirmasi ukuran kelompok yang terpengaruh atau bagaimana pelanggan dipilih.
Revolut mencantumkan nama lengkap pelanggan, tanggal lahir, dan pekerjaan di antara detail identitas yang diberikan. Informasi kontak meliputi alamat pos, alamat email, dan nomor telepon.
Permintaan tersebut juga mengakibatkan pengungkapan salinan dokumen identitas, seperti paspor atau SIM, beserta selfie yang diberikan pelanggan untuk pemeriksaan identitas. Revolut membedakan antara gambar-gambar tersebut dan data telemetri wajah biometrik, yang menurutnya tidak terlibat.
Laporan rekening merupakan bagian lain dari materi yang diungkapkan. Menurut pemberitahuan tersebut, laporan tersebut mencakup IBAN, status rekening, tanggal pembukaan rekening, dan nomor referensi dompet Bitcoin. Catatan penarikan dan riwayat transaksi lengkap, termasuk transaksi Bitcoin, juga disediakan.
Pemberitahuan tersebut mencantumkan kategori informasi yang mungkin telah diungkapkan; tidak menetapkan bahwa setiap pelanggan yang terpengaruh memiliki setiap jenis catatan yang disimpan. Juga tidak disebutkan bahwa kunci pribadi dompet, kata sandi akun, atau detail kartu pembayaran lengkap disertakan. Riwayat transaksi Bitcoin sangat relevan bagi pengguna kripto karena pemberitahuan tersebut menempatkannya bersama nama dan catatan akun lainnya dalam informasi yang dikirim ke pemohon yang tidak berwenang.
Revolut melayani lebih dari 80 juta pelanggan secara global, menurut pengumuman perusahaan pada bulan Agustus. Angka pelanggan tersebut menggambarkan ukuran bisnisnya, bukan jumlah yang terpengaruh oleh pengungkapan ini.
Kantor Komisioner Informasi Inggris mengatakan konsekuensi yang mungkin terjadi dari pelanggaran data pribadi meliputi pencurian identitas, penipuan, dan kerugian finansial. Pedoman pelanggaran mereka menyerukan penilaian informasi yang terlibat dan kemungkinan kerugian bagi individu; tidak menetapkan bahwa siapa pun telah menderita akibat tersebut dalam insiden Revolut.
Bagi pelanggan yang dokumen identitas dan catatan transaksinya keduanya diungkapkan, pemberitahuan tersebut menunjukkan bahwa penerima dapat memperoleh rincian keuangan orang tersebut. Klaim ZachXBT tentang pengguna kaya yang menjadi sasaran belum dikonfirmasi oleh Revolut dalam materi yang ditampilkan, dan tidak ada penyalahgunaan catatan selanjutnya yang didokumentasikan di sana.
Pedoman regulator juga menyatakan bahwa organisasi harus melaporkan pelanggaran data pribadi tertentu dalam waktu 72 jam setelah mengetahuinya, jika memungkinkan, dan memberi tahu individu tanpa penundaan yang tidak semestinya ketika risiko terhadap hak dan kebebasan mereka tinggi. Tangkapan layar tidak mengatakan apakah Revolut telah memberi tahu regulator atau kapan perusahaan pertama kali mengetahui permintaan tidak sah tersebut.
Dalam panduan keamanan AS-nya, Revolut memberi tahu pelanggan untuk menggunakan obrolan dukungan dalam aplikasi untuk memeriksa apakah kontak yang mencurigakan itu asli. Perusahaan mengatakan tidak akan meminta pelanggan untuk membagikan kode verifikasi atau keamanan melalui telepon. Pemberitahuan pelanggan yang ditunjukkan oleh ZachXBT tidak melaporkan bahwa kode tersebut diungkapkan.
Insiden ini terjadi selama ekspansi layanan perbankan dan aset digital Revolut. Pada 26 Agustus, perusahaan mulai menawarkan stablecoin EURR yang didukung euro kepada pelanggan terpilih di Denmark, Polandia, dan Portugal, dengan ketersediaan Eropa lebih lanjut yang direncanakan, seperti yang sebelumnya dilaporkan oleh crypto.news. Peluncuran stablecoin ini terpisah dari pengungkapan catatan pelanggan.
Rencana Revolut di AS memberikan konteks bagi pembaca Amerika, meskipun pemberitahuan tersebut tidak mengidentifikasi pelanggan yang terpengaruh berada di Amerika Serikat. Pada 3 September, perusahaan menerima persetujuan bersyarat untuk bank AS dari Office of the Comptroller of the Currency. Bank yang diusulkan di Stamford, Connecticut, akan menerima sekitar $95 juta modal awal dan dapat dibuka pada tahun 2027 jika memperoleh persetujuan yang tersisa.
Untuk saat ini, Revolut menyediakan layanan perbankan pelanggan AS melalui Lead Bank, menurut laporan sebelumnya. Bank nasional yang diusulkan masih memerlukan asuransi simpanan dari Federal Deposit Insurance Corporation, persetujuan Federal Reserve, dan otorisasi akhir OCC sebelum dapat dibuka.
BTC
