Revolut ujawnił aktywność Bitcoin i paszporty po fałszywym żądaniu rządowym

Bank cyfrowy przekazał wrażliwe dane klientów, w tym paszporty, selfie, adresy domowe i szczegóły transakcji Bitcoin po potraktowaniu oszukańczego żądania rządowego jako legalnego, choć żadne środki nie zostały skradzione.

Revolut, londyński bank cyfrowy z ponad 40 milionami użytkowników na całym świecie, potwierdził znaczące naruszenie danych po tym, jak padł ofiarą wyrafinowanego ataku inżynierii społecznej. Firma błędnie przetworzyła to, co wydawało się być legalnym rządowym żądaniem danych, przekazując bardzo wrażliwe informacje o klientach oszustom podającym się za funkcjonariuszy organów ścigania.

Ujawnione dane obejmują kopie paszportów, zdjęcia weryfikacyjne selfie, adresy domowe i, co kluczowe dla użytkowników kryptowalut, szczegółowe zapisy aktywności Bitcoin na platformie. Naruszenie dotyczy nieujawnionej liczby klientów, chociaż Revolut podkreślił, że podczas incydentu nie zostały naruszone ani skradzione żadne środki klientów. Firma wykryła oszukańcze żądanie po tym, jak dane zostały już przesłane.

To naruszenie podkreśla rosnącą podatność w ekosystemie kryptowalut i fintech: wykorzystywanie legalnych procesów żądania danych. Instytucje finansowe są prawnie zobowiązane do odpowiadania na żądania rządowe i organów ścigania, tworząc potencjalny wektor ataku, gdy przestępcy z powodzeniem podszywają się pod władze. Włączenie danych transakcji Bitcoin jest szczególnie niepokojące, ponieważ może umożliwić ukierunkowane kampanie phishingowe lub zagrożenia bezpieczeństwa fizycznego wobec klientów, o których wiadomo, że posiadają kryptowaluty.

Revolut nie ujawnił konkretnego mechanizmu, którego użyli atakujący do uwierzytelnienia swojego fałszywego żądania, ani jurysdykcji, którą twierdzili, że reprezentują. Eksperci branżowi sugerują, że atakujący prawdopodobnie sfałszowali oficjalny papier firmowy, użyli skompromitowanych rządowych adresów e-mail lub wykorzystali luki w procedurach weryfikacji, których banki używają do uwierzytelniania żądań organów ścigania. Wymagana wyrafinowanie sugeruje zorganizowaną operację przestępczą, a nie oportunistycznych hakerów.

Dla dotkniętych klientów ujawnienie danych paszportowych w połączeniu z aktywnością kryptowalutową stwarza wiele zagrożeń. Kradzież tożsamości staje się łatwiejsza dzięki zweryfikowanym dokumentom tożsamości, podczas gdy wiedza o posiadaniu Bitcoinów czyni osoby celami ataków typu SIM-swap, prób phishingowych, a nawet zagrożeń fizycznych. Badacze bezpieczeństwa zalecają dotkniętym użytkownikom włączenie dodatkowych warstw uwierzytelniania, monitorowanie raportów kredytowych i rozważenie zmiany adresów powiązanych z wartościowymi posiadłościami kryptowalut.

Incydent ma miejsce w wrażliwym czasie dla Revolut, który stara się o licencje bankowe w wielu jurysdykcjach i jest poddawany wzmożonej kontroli regulacyjnej dotyczącej szybkiego wzrostu i praktyk zgodności. Firma przetwarza miliardy transakcji kryptowalutowych rocznie i pozycjonuje się jako most między tradycyjną bankowością a aktywami cyfrowymi. To naruszenie może skłonić regulatorów do zbadania, w jaki sposób firmy fintech weryfikują i odpowiadają na rządowe żądania danych.

Revolut oświadczył, że zgłosił incydent odpowiednim organom ochrony danych i agencjom ścigania oraz wdraża dodatkowe kroki weryfikacji dla przyszłych żądań rządowych. Firma bezpośrednio powiadamia dotkniętych klientów i oferuje usługi monitorowania kredytowego. Obserwatorzy branży zauważają, że podobne ataki inżynierii społecznej ukierunkowane na proces żądania danych dotknęły inne instytucje finansowe, co sugeruje, że może to reprezentować pojawiający się wektor zagrożeń w całym sektorze, a nie pojedynczy incydent w jednej firmie.