Revolut раскрыл биткойн-активность и паспортные данные после поддельного правительственного запроса

Цифровой банк передал конфиденциальные данные клиентов, включая паспорта, селфи, домашние адреса и детали биткойн-транзакций, после того как принял мошеннический правительственный запрос за подлинный, хотя средства не были украдены.

Revolut, лондонский цифровой банк с более чем 40 миллионами пользователей по всему миру, подтвердил значительную утечку данных после того, как стал жертвой сложной атаки социальной инженерии. Компания ошибочно обработала то, что казалось легитимным правительственным запросом на данные, передав очень конфиденциальную информацию о клиентах мошенникам, выдававшим себя за представителей правоохранительных органов.

Раскрытые данные включают копии паспортов, фотографии для верификации, домашние адреса и, что критично важно для крипто-пользователей, подробные записи о биткойн-активности на платформе. Утечка затрагивает нераскрытое количество клиентов, хотя Revolut подчеркнул, что никакие средства клиентов не были скомпрометированы или украдены во время инцидента. Компания обнаружила мошеннический запрос после того, как данные уже были переданы.

Эта утечка подчеркивает растущую уязвимость в экосистеме криптовалют и финтеха: эксплуатацию процессов законных запросов на данные. Финансовые учреждения юридически обязаны отвечать на правительственные запросы и запросы правоохранительных органов, создавая потенциальный вектор атаки, когда преступники успешно выдают себя за власти. Включение данных о биткойн-транзакциях особенно тревожно, поскольку это может обеспечить целевые фишинговые кампании или угрозы физической безопасности клиентов, о которых известно, что они владеют криптовалютой.

Revolut не раскрыл конкретный механизм, использованный злоумышленниками для аутентификации их поддельного запроса, ни юрисдикцию, которую они утверждали представлять. Отраслевые эксперты предполагают, что злоумышленники, вероятно, подделали официальный бланк, использовали скомпрометированные правительственные электронные адреса или эксплуатировали пробелы в процедурах верификации, которые банки используют для аутентификации запросов правоохранительных органов. Необходимая сложность предполагает организованную преступную операцию, а не оппортунистических хакеров.

Для пострадавших клиентов раскрытие паспортных данных в сочетании с криптовалютной активностью создает множественные риски. Кража личных данных становится легче с проверенными документами, в то время как знание о владении биткойнами делает людей мишенями для SIM-swap атак, фишинга или даже физических угроз. Исследователи безопасности рекомендуют пострадавшим пользователям включить дополнительные уровни аутентификации, мониторить кредитные отчеты и рассмотреть изменение адресов, связанных с высокостоимостными криптовалютными активами.

Инцидент происходит в чувствительное время для Revolut, который добивается банковских лицензий в нескольких юрисдикциях и сталкивается с возросшим регуляторным контролем из-за своего быстрого роста и практик соблюдения требований. Компания обрабатывает миллиарды крипто-транзакций ежегодно и позиционирует себя как мост между традиционным банкингом и цифровыми активами. Эта утечка может побудить регуляторов изучить, как финтех-компании проверяют и реагируют на правительственные запросы на данные.

Revolut заявил, что сообщил об инциденте соответствующим органам по защите данных и правоохранительным органам и внедряет дополнительные этапы проверки для будущих правительственных запросов. Компания непосредственно уведомляет пострадавших клиентов и предлагает услуги кредитного мониторинга. Отраслевые наблюдатели отмечают, что подобные атаки социальной инженерии, нацеленные на процесс запроса данных, затронули другие финансовые учреждения, предполагая, что это может представлять собой возникающий вектор угрозы во всем секторе, а не изолированный инцидент в одной компании.