Revolut a dezvăluit identitățile clienților și înregistrările financiare, inclusiv istoricele tranzacțiilor Bitcoin, după ce a acționat în baza unei solicitări frauduloase care părea să provină de la o agenție guvernamentală.
Conform unei notificări Revolut către clienți, distribuită pe Telegram de către investigatorul on-chain ZachXBT, solicitarea a venit de la un cont de e-mail neautorizat care a folosit domeniul unei agenții guvernamentale oficiale. Mesajul a trecut de verificările de autentificare a domeniului, iar Revolut a declarat că a crezut că solicitarea este autentică atunci când a furnizat informațiile.
Notificarea nu menționează agenția și nici nu precizează cum a obținut expeditorul neautorizat acces la domeniul său de e-mail. De asemenea, nu specifică data solicitării sau a divulgării. ZachXBT a declarat că mai mulți clienți au primit un e-mail de alertă vineri, 11 septembrie, dar nici el, nici porțiunea din notificare prezentată în postarea sa nu au oferit un număr confirmat de utilizatori afectați.
În relatarea sa despre incident, Revolut a declarat că e-mailul a părut a fi o solicitare guvernamentală legitimă deoarece conținea acreditări valide de autentificare a domeniului. Solicitarea a fost trimisă direct de la un cont neautorizat care folosea domeniul oficial de e-mail al agenției, mai degrabă decât de la o adresă creată pentru a părea similară.
„Deoarece comunicarea conținea acreditări valide de autentificare a domeniului, aceasta a fost îndeplinită în convingerea rezonabilă că era o solicitare autentică din partea unei agenții guvernamentale,” se arată în notificare.
Formularea descrie o divulgare neautorizată făcută ca răspuns la o solicitare înșelătoare. Notificarea nu spune că un intrus a intrat în sistemele Revolut, a accesat conturile clienților sau a retras fonduri. Nu identifică persoana care a trimis solicitarea și nici nu precizează dacă agenția a investigat utilizarea contului său de e-mail.
ZachXBT a descris incidentul ca fiind probabil limitat în dimensiune și a spus că se pare că a vizat utilizatori cu avere netă mare. Notificarea Revolut, așa cum se vede în captură de ecran, nu confirmă nici dimensiunea grupului afectat, nici modul în care au fost selectați clienții.
Revolut a enumerat numele complete ale clienților, datele de naștere și ocupațiile printre detaliile de identitate furnizate. Informațiile de contact includeau adrese poștale, adrese de e-mail și numere de telefon.
Solicitarea a dus, de asemenea, la divulgarea copiilor documentelor de identitate, cum ar fi pașapoartele sau permisele de conducere, împreună cu selfie-urile pe care clienții le-au furnizat pentru verificările de identitate. Revolut a făcut o distincție între aceste imagini și datele telemetrice biometrice faciale, despre care a declarat că nu au fost implicate.
Extrasele de cont au constituit o altă parte a materialului divulgat. Conform notificării, extrasele includeau coduri IBAN, starea contului, datele de deschidere a contului și numerele de referință ale portofelelor Bitcoin. Înregistrările de retrageri și istoricele complete ale tranzacțiilor, inclusiv tranzacțiile Bitcoin, au fost, de asemenea, furnizate.
Notificarea listează categorii de informații care ar fi putut fi divulgate; nu stabilește că fiecare client afectat avea fiecare tip de înregistrare în dosar. Nici nu spune că cheile private de portofel, parolele de cont sau detaliile complete ale cardului de plată au fost incluse. Istoricele tranzacțiilor Bitcoin sunt deosebit de relevante pentru utilizatorii de criptomonede, deoarece notificarea le plasează alături de nume și alte înregistrări de cont în informațiile trimise solicitantului neautorizat.
Revolut deservește peste 80 de milioane de clienți la nivel global, conform unui anunț al companiei din august. Această cifră a clienților descrie dimensiunea afacerii sale, nu numărul celor afectați de această divulgare.
Oficiul Comisarului pentru Informații din Marea Britanie (UK Information Commissioner’s Office) afirmă că posibilele consecințe ale unei încălcări a datelor cu caracter personal includ furtul de identitate, frauda și pierderile financiare. Ghidul său privind încălcările solicită o evaluare a informațiilor implicate și a prejudiciului probabil pentru indivizi; nu stabilește că cineva a suferit aceste consecințe în incidentul Revolut.
Pentru un client ale cărui document de identitate și înregistrări de tranzacții au fost ambele divulgate, notificarea indică faptul că destinatarul ar fi putut obține o imagine detaliată a finanțelor acelei persoane. Afirmația lui ZachXBT despre vizarea utilizatorilor bogați nu a fost confirmată de Revolut în materialul prezentat, și nicio utilizare ulterioară abuzivă a înregistrărilor nu este documentată acolo.
Ghidul autorității de reglementare mai spune că organizațiile trebuie să raporteze anumite încălcări ale datelor cu caracter personal în termen de 72 de ore de la momentul în care au luat cunoștință de ele, acolo unde este fezabil, și să notifice persoanele fără întârzieri nejustificate atunci când riscul pentru drepturile și libertățile acestora este ridicat. Captura de ecran nu precizează dacă Revolut a notificat o autoritate de reglementare sau când a aflat compania pentru prima dată despre solicitarea neautorizată.
În ghidul său de securitate pentru SUA, Revolut le spune clienților să utilizeze chatul de asistență din aplicație pentru a verifica dacă un contact suspect este autentic. Compania declară că nu va cere clienților să partajeze coduri de verificare sau de securitate prin telefon. Notificarea către clienți prezentată de ZachXBT nu raportează că astfel de coduri au fost divulgate.
Incidentul survine în timpul extinderii serviciilor bancare și de active digitale ale Revolut. Pe 26 august, compania a început să ofere stablecoin-ul său EURR, susținut de euro, clienților selectați din Danemarca, Polonia și Portugalia, cu o disponibilitate europeană ulterioară planificată, așa cum a raportat anterior crypto.news. Lansarea stablecoin-ului este separată de divulgarea înregistrărilor clienților.
Planurile Revolut pentru SUA oferă context cititorilor americani, deși notificarea nu identifică niciun client afectat ca fiind din Statele Unite. Pe 3 septembrie, compania a primit aprobarea condiționată pentru o bancă americană de la Oficiul Controlorului Monedei. Banca sa propusă din Stamford, Connecticut, ar primi aproximativ 95 de milioane de dolari capital inițial și ar putea deschide în 2027 dacă obține aprobările rămase.
Pentru moment, Revolut oferă servicii bancare clienților din SUA prin Lead Bank, conform raportului anterior. Banca națională propusă încă necesită asigurarea depozitelor de la Corporația Federală de Asigurare a Depozitelor, aprobarea Rezervei Federale și autorizarea finală OCC înainte de a putea deschide.
BTC