Revolut передав шахраям дані клієнтів: підроблений лист від держоргану

Інцидент стався 12 вересня. Зловмисники отримали доступ до офіційної пошти неназваного державного відомства й від його імені надіслали банку терміновий запит на розкриття інформації. Лист надійшов зі справжнього урядового домену, тому пройшов внутрішні перевірки компанії — співробітники сприйняли його як легітимний.

Дані передали ще до того, як Revolut самостійно зв'язався з відомством і викрив підробку. У банку запевнили, що гроші клієнтів не постраждали, але точну кількість постраждалих користувачів досі не розкрили.

У витік потрапили скани паспортів або посвідчень водія, верифікаційні селфі, імена, дати народження, професії, домашні адреси, електронні пошти, номери телефонів, IBAN, банківські виписки, записи про зняття коштів і повна історія транзакцій, включно з усією активністю в біткоїні.

Дослідник ZachXBT зазначив, що витік виглядає обмеженим за масштабом і, ймовірно, був спрямований проти заможних власників криптовалюти.

Слабким місцем виявилася сама процедура авторизації: щойно запит пройшов внутрішні перевірки, людина, яка видавала себе за держчиновника, отримала доступ до тієї ж чутливої інформації, яку банк збирає для ідентифікації та комплаєнсу. Такі атаки стає дедалі важче відрізнити від справжніх, адже штучний інтелект здешевлює створення переконливих листів і документів. А фінансові компанії тим часом накопичують дедалі детальніші дані про клієнтів — хто вони, де живуть і як переміщують гроші. Для великих власників криптовалюти це особливо небезпечно, бо їхню блокчейн-активність легко пов'язати з реальною особою.