Revolut đã tiết lộ danh tính khách hàng và hồ sơ tài chính, bao gồm lịch sử giao dịch Bitcoin, sau khi thực hiện theo một yêu cầu lừa đảo dường như đến từ một cơ quan chính phủ.
Theo một thông báo khách hàng của Revolut được nhà điều tra on-chain ZachXBT chia sẻ trên Telegram, yêu cầu này đến từ một tài khoản email không được ủy quyền sử dụng tên miền của một cơ quan chính phủ chính thức. Tin nhắn đã vượt qua các kiểm tra xác thực tên miền, và Revolut cho biết họ tin rằng yêu cầu là thật khi cung cấp thông tin.
Thông báo không nêu tên cơ quan hay cho biết người gửi không được ủy quyền đã truy cập tên miền email của họ bằng cách nào. Nó cũng không đưa ra ngày tháng cho yêu cầu hoặc việc tiết lộ. ZachXBT cho biết nhiều khách hàng đã nhận được email cảnh báo vào thứ Sáu, ngày 11 tháng 9, nhưng cả anh ấy và phần thông báo được hiển thị trong bài đăng của anh ấy đều không đưa ra số lượng người dùng bị ảnh hưởng đã được xác nhận.
Trong tường thuật về sự cố, Revolut cho biết email dường như là một yêu cầu hợp pháp của chính phủ vì nó mang các thông tin xác thực tên miền hợp lệ. Yêu cầu được gửi trực tiếp từ một tài khoản không được ủy quyền sử dụng tên miền email chính thức của cơ quan, chứ không phải từ một địa chỉ được tạo ra để trông giống với nó.
"Vì thông tin liên lạc mang thông tin xác thực tên miền hợp lệ, nó đã được thực hiện với niềm tin hợp lý rằng đây là một yêu cầu của cơ quan chính phủ đích thực," thông báo cho biết.
Cách diễn đạt mô tả một sự tiết lộ không được ủy quyền được thực hiện để đáp lại một yêu cầu lừa dối. Thông báo không nói rằng có kẻ xâm nhập vào hệ thống của Revolut, truy cập tài khoản khách hàng hoặc rút tiền. Nó không xác định người đã gửi yêu cầu hoặc cho biết liệu cơ quan đã điều tra việc sử dụng tài khoản email của họ hay không.
ZachXBT mô tả sự cố này có khả năng có quy mô giới hạn và cho biết nó dường như đã nhắm mục tiêu vào những người dùng có giá trị tài sản ròng cao. Thông báo của Revolut, như được hiển thị trong ảnh chụp màn hình, không xác nhận quy mô của nhóm bị ảnh hưởng hoặc cách khách hàng được chọn.
Revolut liệt kê tên đầy đủ, ngày sinh và nghề nghiệp của khách hàng trong số các chi tiết nhận dạng được cung cấp. Thông tin liên hệ bao gồm địa chỉ bưu điện, địa chỉ email và số điện thoại.
Yêu cầu cũng dẫn đến việc tiết lộ bản sao các tài liệu nhận dạng, như hộ chiếu hoặc giấy phép lái xe, cùng với ảnh tự chụp mà khách hàng cung cấp để kiểm tra danh tính. Revolut phân biệt giữa những hình ảnh đó và dữ liệu đo từ xa khuôn mặt sinh trắc học, mà họ cho biết không liên quan.
Các sao kê tài khoản hình thành một phần khác của tài liệu được tiết lộ. Theo thông báo, các sao kê bao gồm IBAN, trạng thái tài khoản, ngày mở tài khoản và số tham chiếu ví Bitcoin. Hồ sơ rút tiền và toàn bộ lịch sử giao dịch, bao gồm các giao dịch Bitcoin, cũng được cung cấp.
Thông báo liệt kê các loại thông tin có thể đã được tiết lộ; nó không khẳng định rằng mọi khách hàng bị ảnh hưởng đều có mọi loại hồ sơ được lưu giữ. Nó cũng không nói rằng khóa riêng ví, mật khẩu tài khoản hoặc chi tiết thẻ thanh toán đầy đủ đã được bao gồm. Lịch sử giao dịch Bitcoin đặc biệt liên quan đến người dùng tiền điện tử vì thông báo đặt chúng cùng với tên và các hồ sơ tài khoản khác trong thông tin được gửi đến người yêu cầu không được ủy quyền.
Revolut phục vụ hơn 80 triệu khách hàng trên toàn cầu, theo một thông báo của công ty vào tháng 8. Con số khách hàng đó mô tả quy mô kinh doanh của họ, chứ không phải số lượng người bị ảnh hưởng bởi việc tiết lộ này.
Văn phòng Ủy viên Thông tin Vương quốc Anh cho biết hậu quả có thể xảy ra của một vụ vi phạm dữ liệu cá nhân bao gồm đánh cắp danh tính, lừa đảo và mất mát tài chính. Hướng dẫn về vi phạm của họ kêu gọi đánh giá thông tin liên quan và thiệt hại có thể xảy ra đối với cá nhân; nó không khẳng định rằng bất kỳ ai đã phải chịu những kết quả đó trong sự cố của Revolut.
Đối với một khách hàng có tài liệu nhận dạng và hồ sơ giao dịch đều bị tiết lộ, thông báo chỉ ra rằng người nhận có thể đã có được một tài khoản chi tiết về tài chính của người đó. Tuyên bố của ZachXBT về việc người dùng giàu có bị nhắm mục tiêu chưa được Revolut xác nhận trong tài liệu được hiển thị, và không có việc lạm dụng hồ sơ nào sau đó được ghi nhận ở đó.
Hướng dẫn của cơ quan quản lý cũng nói rằng các tổ chức phải báo cáo một số vi phạm dữ liệu cá nhân nhất định trong vòng 72 giờ kể từ khi biết được chúng, nếu khả thi, và thông báo cho các cá nhân mà không chậm trễ khi rủi ro đối với quyền và tự do của họ cao. Ảnh chụp màn hình không nói liệu Revolut đã thông báo cho cơ quan quản lý hay khi nào công ty lần đầu tiên biết về yêu cầu không được ủy quyền.
Trong hướng dẫn bảo mật của Hoa Kỳ, Revolut hướng dẫn khách hàng sử dụng trò chuyện hỗ trợ trong ứng dụng để kiểm tra xem một liên hệ đáng ngờ có phải là thật hay không. Công ty cho biết họ sẽ không yêu cầu khách hàng chia sẻ mã xác minh hoặc mã bảo mật qua điện thoại. Thông báo khách hàng được ZachXBT hiển thị không báo cáo rằng các mã như vậy đã bị tiết lộ.
Sự cố này diễn ra trong bối cảnh Revolut đang mở rộng các dịch vụ ngân hàng và tài sản kỹ thuật số của mình. Vào ngày 26 tháng 8, công ty bắt đầu cung cấp stablecoin EURR được hỗ trợ bằng euro cho một số khách hàng chọn lọc ở Đan Mạch, Ba Lan và Bồ Đào Nha, với kế hoạch mở rộng thêm ở châu Âu, như đã được crypto.news báo cáo trước đó. Việc triển khai stablecoin này tách biệt với việc tiết lộ hồ sơ khách hàng.
Các kế hoạch của Revolut tại Hoa Kỳ cung cấp bối cảnh cho độc giả Mỹ, mặc dù thông báo không xác định bất kỳ khách hàng bị ảnh hưởng nào là ở Hoa Kỳ. Vào ngày 3 tháng 9, công ty đã nhận được sự chấp thuận có điều kiện cho một ngân hàng Hoa Kỳ từ Văn phòng Kiểm toán Tiền tệ. Ngân hàng Stamford, Connecticut được đề xuất của họ sẽ nhận khoảng 95 triệu đô la vốn ban đầu và có thể mở cửa vào năm 2027 nếu nhận được các chấp thuận còn lại.
Hiện tại, Revolut cung cấp dịch vụ ngân hàng cho khách hàng Hoa Kỳ thông qua Lead Bank, theo báo cáo trước đó. Ngân hàng quốc gia được đề xuất vẫn cần bảo hiểm tiền gửi từ Tổng công ty Bảo hiểm Tiền gửi Liên bang, sự chấp thuận của Cục Dự trữ Liên bang và ủy quyền cuối cùng của OCC trước khi có thể mở cửa.
BTC
