Revolut lộ hoạt động Bitcoin và hộ chiếu sau yêu cầu chính phủ giả mạo

Ngân hàng kỹ thuật số đã giao dữ liệu nhạy cảm của khách hàng bao gồm hộ chiếu, ảnh selfie, địa chỉ nhà và chi tiết giao dịch Bitcoin sau khi coi yêu cầu chính phủ giả mạo là hợp pháp, mặc dù không có tiền bị đánh cắp.

Revolut, ngân hàng kỹ thuật số có trụ sở tại London với hơn 40 triệu người dùng trên toàn cầu, đã xác nhận một vụ vi phạm dữ liệu đáng kể sau khi trở thành nạn nhân của một cuộc tấn công kỹ thuật xã hội tinh vi. Công ty đã xử lý sai những gì có vẻ như là một yêu cầu dữ liệu chính phủ hợp pháp, giao thông tin khách hàng cực kỳ nhạy cảm cho những kẻ lừa đảo giả dạng là quan chức thực thi pháp luật.

Dữ liệu bị lộ bao gồm bản sao hộ chiếu, ảnh xác minh selfie, địa chỉ nhà và quan trọng đối với người dùng tiền điện tử, hồ sơ chi tiết về hoạt động Bitcoin trên nền tảng. Vi phạm ảnh hưởng đến một số lượng khách hàng chưa được tiết lộ, mặc dù Revolut đã nhấn mạnh rằng không có tiền của khách hàng bị xâm phạm hoặc bị đánh cắp trong sự cố. Công ty phát hiện yêu cầu gian lận sau khi dữ liệu đã được truyền đi.

Vi phạm này làm nổi bật một lỗ hổng ngày càng tăng trong hệ sinh thái tiền điện tử và fintech: khai thác các quy trình yêu cầu dữ liệu hợp pháp. Các tổ chức tài chính có nghĩa vụ pháp lý phải trả lời các yêu cầu của chính phủ và cơ quan thực thi pháp luật, tạo ra một vectơ tấn công tiềm năng khi tội phạm thành công trong việc mạo danh cơ quan chức năng. Việc bao gồm dữ liệu giao dịch Bitcoin đặc biệt đáng lo ngại, vì nó có thể cho phép các chiến dịch lừa đảo có mục tiêu hoặc đe dọa an ninh vật lý chống lại khách hàng được biết là nắm giữ tiền điện tử.

Revolut chưa tiết lộ cơ chế cụ thể mà kẻ tấn công sử dụng để xác thực yêu cầu giả mạo của họ, cũng như thẩm quyền mà họ tuyên bố đại diện. Các chuyên gia trong ngành cho rằng kẻ tấn công có thể đã giả mạo tiêu đề chính thức, sử dụng địa chỉ email chính phủ bị xâm phạm hoặc khai thác khoảng trống trong các thủ tục xác minh mà ngân hàng sử dụng để xác thực yêu cầu thực thi pháp luật. Sự tinh vi cần thiết cho thấy một hoạt động tội phạm có tổ chức thay vì tin tặc cơ hội.

Đối với khách hàng bị ảnh hưởng, việc lộ dữ liệu hộ chiếu kết hợp với hoạt động tiền điện tử tạo ra nhiều rủi ro. Trộm cắp danh tính trở nên dễ dàng hơn với các tài liệu nhận dạng đã được xác minh, trong khi kiến thức về việc nắm giữ Bitcoin khiến các cá nhân trở thành mục tiêu cho các cuộc tấn công hoán đổi SIM, nỗ lực lừa đảo hoặc thậm chí đe dọa vật lý. Các nhà nghiên cứu bảo mật khuyên người dùng bị ảnh hưởng nên kích hoạt các lớp xác thực bổ sung, theo dõi báo cáo tín dụng và xem xét việc thay đổi địa chỉ liên quan đến các khoản nắm giữ tiền điện tử có giá trị cao.

Sự cố xảy ra vào thời điểm nhạy cảm đối với Revolut, công ty đang theo đuổi giấy phép ngân hàng ở nhiều khu vực pháp lý và phải đối mặt với sự giám sát quy định ngày càng tăng về tăng trưởng nhanh chóng và các thực hành tuân thủ của mình. Công ty xử lý hàng tỷ giao dịch tiền điện tử hàng năm và định vị mình là cầu nối giữa ngân hàng truyền thống và tài sản kỹ thuật số. Vi phạm này có thể thúc giục các cơ quan quản lý xem xét cách các công ty fintech xác minh và phản hồi các yêu cầu dữ liệu của chính phủ.

Revolut tuyên bố đã báo cáo sự cố cho các cơ quan bảo vệ dữ liệu có liên quan và các cơ quan thực thi pháp luật, và đang thực hiện các bước xác minh bổ sung cho các yêu cầu của chính phủ trong tương lai. Công ty đang thông báo trực tiếp cho khách hàng bị ảnh hưởng và cung cấp dịch vụ giám sát tín dụng. Các nhà quan sát ngành lưu ý rằng các cuộc tấn công kỹ thuật xã hội tương tự nhắm vào quy trình yêu cầu dữ liệu đã ảnh hưởng đến các tổ chức tài chính khác, cho thấy đây có thể là một vectơ đe dọa mới nổi trên toàn bộ ngành chứ không phải là một sự cố riêng lẻ tại một công ty.