Британський необанк Revolut офіційно визнав факт передачі персональних даних частини клієнтів стороннім особам. Проблема виникла через хитру атаку методом соціальної інженерії: зловмисники надіслали компанії запит із поштової адреси, що дійсно належала державній установі, тому лист успішно пройшов усі технічні перевірки домену.

Механіка атаки

Як повідомляє TechCrunch із посиланням на лист-повідомлення, який Revolut надіслав постраждалим клієнтам, компанія отримала звернення, оформлене як офіційний запит держустанови. У Revolut це назвали «витонченою зовнішньою шахрайською схемою з підробкою особи» — неавторизована третя сторона використала справжній домен держоргану, щоб надіслати фальшивий запит на інформацію.

Представник компанії пояснив, що після виявлення шахрайства скомпрометовану поштову адресу заблокували, а про сам випадок повідомили і відповідний державний орган, і правоохоронців, і регуляторів. У Revolut підкреслили, що «системи Revolut та кошти клієнтів не постраждали». Водночас компанія не розкрила ні назву державного органу, чию адресу підробили, ні країну або ринок, де сталася атака.

Обсяг викрадених даних

Перелік інформації, що потрапила до рук зловмисників, виявився чималим: дати народження, поштові та електронні адреси, номери телефонів, а також скановані копії паспортів і водійських прав. За даними Decrypt, окремі клієнти постраждали ще суттєвіше — у їхньому випадку злили виписки з рахунків із номерами IBAN та адресами криптогаманців, історію виведення коштів і повну історію транзакцій, зокрема перекази в біткоїнах.

У Revolut уточнили, що біометричні дані для верифікації особи, тобто селфі-фото, у цьому випадку не постраждали. Компанія визнала, що жертвами стала «обмежена» кількість клієнтів, з якими вже зв'язалися напряму, однак точну кількість постраждалих не назвала.

Як реагує спільнота

Першим про витік публічно розповів блокчейн-дослідник ZachXBT, оприлюднивши лист Revolut до постраждалих клієнтів. На його думку, атака могла бути спрямована саме на власників великих криптовалютних активів — і це особливо насторожує на фоні зростання кількості так званих «wrench attacks», фізичних нападів на криптоінвесторів з метою отримати доступ до їхніх гаманців.

Прокинувся, а всі мої дані злиті Revolut. Гостре нагадування, що KYC не приніс жодної реальної користі, а лише наразив багатьох на небезпеку.

постраждалий користувач у соцмережі X

Ця історія не сталася на порожньому місці: останніми тижнями подібні витоки визнавали й інші учасники крипторинку. Виробник апаратних гаманців Trezor нещодавно розширив оцінку масштабу витоку, який стався через одного з постачальників підтримки, а платформа X, за повідомленнями, теж пережила витік, після якого мільйони користувачів примусово скидали паролі.

Наслідки для Revolut

Витік стався у вкрай невдалий для Revolut момент. Того ж місяця американський регулятор Office of the Comptroller of the Currency видав компанії умовне схвалення на створення національного банку у США. Крім того, Revolut розглядає можливість проведення IPO з очікуваною оцінкою приблизно 200 мільярдів доларів і нещодавно вийшла на нові ринки — Індію, Мексику, Францію та ОАЕ. Загалом сервіс обслуговує понад 80 мільйонів клієнтів у понад 30 країнах світу.

Аналітики видання Security Affairs звертають увагу, що цей випадок оголив системну вразливість: надмірна довіра до автентифікації через електронну пошту дає змогу зловмисникам, які здобули доступ до домену державного органу, обходити захисні перевірки й отримувати чутливі дані клієнтів фінтех-сервісів. Для Revolut це вже не перший подібний випадок — три роки тому криміналізовані угруповання також експлуатували вразливість платіжної системи компанії.