Revolut a divulgat pașapoarte și date KYC după un e-mail oficial fals

Revolut a confirmat o breșă gravă de securitate: compania a furnizat documente de identitate, selfie-uri de verificare și istoricul complet al tranzacțiilor — inclusiv operațiuni cu Bitcoin — unui atacator care s-a dat drept o agenție guvernamentală printr-un e-mail fraudulos.

Ce date au fost expuse

Potrivit confirmărilor transmise clienților afectați și declarațiilor oficiale ale companiei, informațiile divulgate includ:

• date de identitate — nume complet, dată de naștere, ocupație, adresă poștală, e-mail și număr de telefon;
• copii ale documentelor de identitate: pașapoarte și permise de conducere;
• imagini de verificare facială (selfie-uri din procesul KYC de onboarding);
• extrase de cont cu IBAN-uri;
• istoricul complet al tranzacțiilor, inclusiv operațiuni cu criptomonede.

Revolut a precizat că sistemele sale și fondurile clienților nu au fost compromise. Numărul exact al persoanelor afectate nu a fost divulgat — compania a invocat doar „un număr limitat de clienți".

Cum a funcționat atacul

Conform declarațiilor transmise de un purtător de cuvânt al Revolut pentru Reuters, breșa s-a produs în urma unui „atac sofisticat de inginerie socială externă": atacatorii au trimis solicitări de date de la o adresă de e-mail înregistrată pe domeniul oficial al unei agenții guvernamentale. Mesajele au trecut verificările tehnice de autentificare — SPF și DKIM — deoarece proveneau efectiv de pe serverele agenției, nu de pe un domeniu falsificat.

Convinsă că răspunde unor solicitări legitime, Revolut a furnizat datele solicitate. Identitatea agenției guvernamentale nu a fost dezvăluită.

Reacția companiei

Imediat după descoperirea incidentului, Revolut a blocat adresa de e-mail compromisă și a notificat agenția guvernamentală implicată, forțele de ordine, autoritățile de protecție a datelor și reglementatorii financiari. Clienții afectați au primit notificări directe din partea companiei.

Riscuri ridicate pentru utilizatorii români

România numără aproximativ 5 milioane de utilizatori Revolut, potrivit Știrilor ProTV — una dintre cele mai mari rate de penetrare per capita din Europa. Cercetătorul independent în securitate cibernetică ZachXBT a susținut că atacul a vizat selectiv clienți cu active mari, nu întreaga bază de utilizatori.

Datele expuse — combinate cu selfie-uri și documente de identitate — pot facilita atacuri de tip furt de identitate și fraudă financiară țintită, conform experților în securitate cibernetică.

Ce ar trebui să facă utilizatorii

Revolut nu a emis recomandări publice specifice, dar experții în securitate cibernetică recomandă:

• monitorizarea atentă a tranzacțiilor și a extraselor de cont;
• activarea autentificării în doi pași (2FA) dacă nu este deja activă;
• vigilență față de tentative de phishing sau apeluri care solicită date personale, invocând identitatea Revolut sau a unor autorități;
• raportarea oricărei activități suspecte direct prin aplicație.

Incidentul survine într-un moment sensibil pentru companie: Revolut a primit recent o aprobare condiționată din partea OCC (Office of the Comptroller of the Currency) pentru a opera ca bancă națională în SUA și explorează o listare publică la o evaluare de 200 de miliarde de dolari.