Revolut розкрив особисті дані клієнтів та фінансові записи, включаючи історію транзакцій Bitcoin, після виконання шахрайського запиту, який, здавалося, надходив від урядового агентства.
Згідно з повідомленням Revolut для клієнтів, опублікованим у Telegram ончейн-дослідником ZachXBT, запит надійшов з несанкціонованого облікового запису електронної пошти, який використовував домен офіційного державного агентства. Повідомлення пройшло перевірку автентифікації домену, і Revolut заявив, що вважав запит справжнім, коли надавав інформацію.
Повідомлення не вказує назву агентства і не пояснює, як несанкціонований відправник отримав доступ до його домену електронної пошти. Воно також не містить дати запиту або розкриття. ZachXBT заявив, що кілька клієнтів отримали електронний лист із попередженням у п'ятницю, 11 вересня, але ані він, ані частина повідомлення, показана в його дописі, не надали підтвердженої кількості постраждалих користувачів.
У своєму описі інциденту Revolut заявив, що електронний лист здавався законним урядовим запитом, оскільки він містив дійсні облікові дані автентифікації домену. Запит було надіслано безпосередньо з несанкціонованого облікового запису, що використовував офіційний домен електронної пошти агентства, а не з адреси, що була б схожа на нього.
«Оскільки повідомлення містило дійсні облікові дані автентифікації домену, воно було виконано, виходячи з обґрунтованого припущення, що це був справжній запит державного агентства», – йдеться в повідомленні.
Формулювання описує несанкціоноване розкриття, здійснене у відповідь на оманливий запит. У повідомленні не йдеться про те, що зловмисник проник у системи Revolut, отримав доступ до клієнтських рахунків або вивів кошти. Воно не ідентифікує особу, яка надіслала запит, і не вказує, чи розслідувало агентство використання свого облікового запису електронної пошти.
ZachXBT охарактеризував інцидент як, ймовірно, обмежений за масштабом і заявив, що він, схоже, був націлений на користувачів з високим рівнем доходу. Повідомлення Revolut, як показано на скріншоті, не підтверджує ні розміру постраждалої групи, ні способу відбору клієнтів.
Revolut перерахував повні імена клієнтів, дати народження та професії серед наданих ідентифікаційних даних. Контактна інформація включала поштові адреси, адреси електронної пошти та номери телефонів.
Запит також призвів до розкриття копій документів, що посвідчують особу, таких як паспорти або водійські посвідчення, а також селфі, які клієнти надавали для перевірки особи. Revolut розрізнив ці зображення та біометричні дані телеметрії обличчя, які, за його словами, не були задіяні.
Виписки з рахунків становили ще одну частину розкритої інформації. Згідно з повідомленням, виписки включали IBAN, статус рахунку, дати відкриття рахунку та референсні номери Bitcoin-гаманців. Також були надані записи про виведення коштів та повні історії транзакцій, включаючи транзакції Bitcoin.
Повідомлення перераховує категорії інформації, яка могла бути розкрита; воно не стверджує, що кожен постраждалий клієнт мав усі типи записів у файлі. Також не йдеться про те, що були включені приватні ключі гаманців, паролі облікових записів або повні дані платіжних карток. Історії транзакцій Bitcoin особливо важливі для криптокористувачів, оскільки повідомлення розміщує їх поруч з іменами та іншими записами облікових записів в інформації, надісланій несанкціонованому запитувачу.
Revolut обслуговує понад 80 мільйонів клієнтів по всьому світу, згідно з серпневим оголошенням компанії. Ця цифра клієнтів описує розмір її бізнесу, а не кількість постраждалих від цього розкриття.
Управління комісара з питань інформації Великобританії заявляє, що можливі наслідки витоку персональних даних включають крадіжку особистих даних, шахрайство та фінансові втрати. Його рекомендації щодо порушень вимагають оцінки залученої інформації та ймовірної шкоди для фізичних осіб; воно не встановлює, що хтось постраждав від цих наслідків в інциденті Revolut.
Для клієнта, чиї документи, що посвідчують особу, та записи транзакцій були розкриті, повідомлення вказує на те, що одержувач міг отримати детальну інформацію про фінанси цієї особи. Заява ZachXBT про те, що були націлені заможні користувачі, не була підтверджена Revolut у показаних матеріалах, і жодного подальшого зловживання записами там не задокументовано.
Рекомендації регулятора також зазначають, що організації повинні повідомляти про певні витоки персональних даних протягом 72 годин після того, як вони дізналися про них, якщо це можливо, та без зайвої затримки повідомляти фізичних осіб, коли ризик для їхніх прав і свобод є високим. Скріншот не вказує, чи повідомив Revolut регулятора, або коли компанія вперше дізналася про несанкціонований запит.
У своїх рекомендаціях щодо безпеки для США Revolut радить клієнтам використовувати чат підтримки в додатку, щоб перевірити, чи є підозрілий контакт справжнім. Компанія заявляє, що не буде просити клієнтів ділитися кодами верифікації або безпеки по телефону. Повідомлення для клієнтів, показане ZachXBT, не повідомляє, що такі коди були розкриті.
Інцидент стався під час розширення банківських послуг та послуг з цифровими активами Revolut. 26 серпня компанія розпочала пропонувати свій стейблкоїн EURR, забезпечений євро, обраним клієнтам у Данії, Польщі та Португалії, з подальшим розширенням доступності в Європі, як раніше повідомляло crypto.news. Запуск стейблкоїна не пов'язаний з розкриттям записів клієнтів.
Плани Revolut щодо США надають контекст для американських читачів, хоча повідомлення не ідентифікує жодного постраждалого клієнта як такого, що знаходиться в Сполучених Штатах. 3 вересня компанія отримала умовне схвалення на створення банку в США від Управління контролера грошового обігу. Її запропонований банк у Стемфорді, штат Коннектикут, отримав би близько 95 мільйонів доларів початкового капіталу і міг би відкритися у 2027 році, якщо отримає решту дозволів.
Наразі Revolut надає банківські послуги клієнтам у США через Lead Bank, згідно з попереднім звітом. Запропонований національний банк все ще потребує страхування вкладів від Федеральної корпорації зі страхування вкладів, схвалення Федеральної резервної системи та остаточного дозволу OCC, перш ніж він зможе відкритися.
BTC