Revolut власноруч злив дані клієнтів за фейковим запросом від шахраїв

Британський необанк Revolut підтвердив, що передав конфіденційні дані частини своїх клієнтів невідомим зловмисникам. Причиною стала витончена схема соціальної інженерії: шахраї надіслали компанії запит на інформацію з поштової скриньки, яка справді належала державному органу, тому лист пройшов усі перевірки автентичності домену.

Як спрацювала схема

За даними TechCrunch, які видання отримало з листа-повідомлення постраждалим клієнтам, Revolut отримав запит, що виглядав як офіційне звернення держустанови. Компанія назвала це “витонченою зовнішньою шахрайською схемою з підробкою особи”, коли неавторизована третя сторона скористалася легітимним доменом державного органу для надсилання фальшивих запитів на інформацію.

Представник Revolut заявив, що після виявлення шахрайства адресу електронної пошти заблокували, а про інцидент повідомили відповідний державний орган, правоохоронні органи та регуляторів. У компанії наголосили, що “системи Revolut та кошти клієнтів не постраждали”. Назву держоргану, чию адресу використали зловмисники, а також країну чи ринок, де стався інцидент, Revolut не розкрив.

Які дані потрапили до шахраїв

Список викраденої інформації виявився доволі широким. Йдеться про дати народження, поштові й електронні адреси, номери телефонів, а також копії паспортів і водійських посвідчень. За інформацією Decrypt, окремим клієнтам також дісталися виписки з рахунками з номерами IBAN і криптогаманців, історія виведення коштів і повна історія транзакцій, включно з біткоїн-переказами.

Revolut додала, що біометричні дані для верифікації особи (селфі) у цьому випадку розкриті не були. Компанія повідомила, що постраждала “обмежена” кількість клієнтів, з якими вже зв’язалися напряму, проте точну цифру не назвала.

Реакція спільноти та ширший контекст

Про витік першим публічно розповів блокчейн-дослідник ZachXBT, який опублікував лист Revolut до постраждалих. За його спостереженнями, атака могла бути спрямована саме на заможних користувачів криптовалют — це особливо тривожно на тлі зростання кількості так званих “wrench attacks”, фізичних нападів на власників криптоактивів заради вимагання доступу до гаманців. Один із постраждалих користувачів написав у соцмережі X:

Інцидент стався не у вакуумі: останніми тижнями про подібні витоки повідомляли й інші гравці крипторинку. Виробник апаратних гаманців Trezor нещодавно розширив масштаб витоку через одного зі своїх постачальників підтримки, а платформа X, за повідомленнями, також зіткнулася з витоком, через який користувачів масово змушували скидати паролі.

Що це означає для Revolut

Витік стався у чутливий для компанії момент. Цього ж місяця американський регулятор Office of the Comptroller of the Currency надав Revolut умовне схвалення на створення національного банку в США. Компанія також розглядає можливість IPO з оцінкою близько 200 млрд доларів і нещодавно вийшла на нові ринки, зокрема Індію, Мексику, Францію та ОАЕ. Revolut обслуговує понад 80 мільйонів клієнтів у понад 30 країнах.

Аналітики видання Security Affairs зауважують, що інцидент оголив системну проблему: покладання переважно на автентифікацію електронної пошти дозволяє зловмисникам, які отримали доступ до домену держоргану, обходити перевірки та отримувати чутливі дані клієнтів фінтех-компаній. Це не перший подібний випадок для Revolut — три роки тому криміналізовані угруповання вже експлуатували вразливість у платіжній системі компанії.

Джерело: TechCrunch