Revolut розкрила біткойн-активність і паспортні дані після фальшивого урядового запиту

Цифровий банк передав конфіденційні дані клієнтів, включаючи паспорти, селфі, домашні адреси та деталі біткойн-транзакцій, після того як прийняв шахрайський урядовий запит за справжній, хоча кошти не було викрадено.

Revolut, лондонський цифровий банк з понад 40 мільйонами користувачів у всьому світі, підтвердив значну витоку даних після того, як став жертвою складної атаки соціальної інженерії. Компанія помилково обробила те, що здавалося легітимним урядовим запитом на дані, передавши дуже конфіденційну інформацію про клієнтів шахраям, які видавали себе за представників правоохоронних органів.

Викриті дані включають копії паспортів, фотографії для верифікації, домашні адреси і, що критично важливо для крипто-користувачів, детальні записи про біткойн-активність на платформі. Витік торкається нерозкритої кількості клієнтів, хоча Revolut наголосив, що жодні кошти клієнтів не були скомпрометовані чи викрадені під час інциденту. Компанія виявила шахрайський запит після того, як дані вже були передані.

Ця витока підкреслює зростаючу вразливість в екосистемі криптовалют і фінтеху: експлуатацію процесів законних запитів на дані. Фінансові установи юридично зобов'язані відповідати на урядові запити та запити правоохоронних органів, створюючи потенційний вектор атаки, коли злочинці успішно видають себе за владу. Включення даних про біткойн-транзакції особливо тривожне, оскільки це може дозволити цільові фішингові кампанії або загрози фізичній безпеці клієнтів, про яких відомо, що вони володіють криптовалютою.

Revolut не розкрив конкретний механізм, використаний зловмисниками для аутентифікації їхнього фальшивого запиту, ні юрисдикцію, яку вони стверджували представляти. Галузеві експерти припускають, що зловмисники, ймовірно, підробили офіційний бланк, використали скомпрометовані урядові електронні адреси або експлуатували прогалини в процедурах верифікації, які банки використовують для аутентифікації запитів правоохоронних органів. Необхідна складність свідчить про організовану злочинну операцію, а не про опортуністичних хакерів.

Для постраждалих клієнтів розкриття паспортних даних у поєднанні з криптовалютною активністю створює множинні ризики. Крадіжка особистих даних стає легшою з перевіреними документами, тоді як знання про володіння біткойнами робить людей мішенями для SIM-swap атак, фішингу або навіть фізичних загроз. Дослідники безпеки рекомендують постраждалим користувачам увімкнути додаткові рівні аутентифікації, моніторити кредитні звіти та розглянути зміну адрес, пов'язаних з високовартісними криптовалютними активами.

Інцидент відбувається в чутливий час для Revolut, який домагається банківських ліцензій у кількох юрисдикціях і стикається зі зростаючим регуляторним контролем через своє швидке зростання та практики дотримання вимог. Компанія обробляє мільярди крипто-транзакцій щорічно і позиціонує себе як міст між традиційним банкінгом і цифровими активами. Ця витока може спонукати регуляторів вивчити, як фінтех-компанії перевіряють та реагують на урядові запити на дані.

Revolut заявив, що повідомив про інцидент відповідним органам із захисту даних та правоохоронним органам і впроваджує додаткові етапи перевірки для майбутніх урядових запитів. Компанія безпосередньо сповіщає постраждалих клієнтів і пропонує послуги кредитного моніторингу. Галузеві спостерігачі зазначають, що подібні атаки соціальної інженерії, націлені на процес запиту даних, торкнулися інших фінансових установ, що свідчить про те, що це може являти собою вектор загрози, що з'являється в усьому секторі, а не ізольований інцидент в одній компанії.