Gigant fintech Revolut potwierdził naruszenie danych, w wyniku którego ujawniono wrażliwe informacje klientów, po tym jak pracownik uznał fałszywy wniosek osoby podszywającej się pod agencję rządową za legitny. Firma ujawniła, że dokumenty tożsamości, w tym paszporty i prawa jazdy, a także dane kontaktowe i dokumentacja finansowa, zostały przekazane podmiotowi atakującemu. Dokładna liczba poszkodowanych klientów nie została ujawniona.

To nie pierwszy raz, gdy Revolut musi wyjaśniać, jak przekonująca próba podszycia się ominęła jego zabezpieczenia. Jak opisano w naszym wcześniejszym raporcie na temat naruszenia danych Revolut z udziałem fałszywego e-maila rządowego, atakujący wielokrotnie odnosili sukcesy, po prostu prosząc o dane, podszywając się pod osobę sprawującą władzę, zamiast wykorzystywać luki w oprogramowaniu lub łamać hasła metodą brute force.

Co się stało i dlaczego to ma znaczenie

Według doniesień na temat incydentu, naruszenie nie wynikało z malware, zhakowanego serwera ani skradzionego hasła. Zamiast tego ktoś podszywający się pod agencję rządową złożył wniosek, który wyglądał wystarczająco oficjalnie, by pracownik Revolut podjął na jego podstawie działania. W rezultacie dane klientów, w tym kopie dokumentów tożsamości, takich jak paszporty i prawa jazdy, daty urodzenia, adresy pocztowe i e-mailowe oraz szczegóły aktywności finansowej, zostały przekazane bezpośrednio atakującemu.

Ten typ ataku socjotechnicznego jest szczególnie trudny do obrony wyłącznie za pomocą narzędzi technicznych. Zapory sieciowe, szyfrowanie i uwierzytelnianie wieloskładnikowe chronią przed wieloma zagrożeniami, ale nie zawsze mogą powstrzymać człowieka przed podjęciem decyzji pod presją. Gdy wniosek wygląda oficjalnie, ma odpowiednie formatowanie lub odwołuje się do prawdziwego języka regulacyjnego, nawet dobrze przeszkoleni pracownicy mogą dać się oszukać.

W przypadku Revolut ten incydent podkreśla szerszy problem branży. Aplikacje fintech rutynowo proszą klientów o przesłanie zdjęć paszportów, praw jazdy i innych dokumentów tożsamości w ramach weryfikacji Know Your Customer (KYC), wymogu prawnego mającego na celu zapobieganie oszustwom i praniu pieniędzy. Jednak gdy dane te zostaną zebrane, stają się celem o wysokiej wartości w systemach firmy, a ich bezpieczeństwo zależy wyłącznie od procesów wewnętrznych, nie tylko od technologii.

Dlaczego aplikacje fintech są głównym celem

Aplikacje finansowe zajmują wyjątkową pozycję w ekosystemie danych. Łączą dwie kategorie informacji, które przestępcy cenią najbardziej: zweryfikowane dokumenty tożsamości i szczegółową aktywność finansową. Sam skan paszportu jest cenny dla kradzieży tożsamości. W połączeniu z historią transakcji klienta, adresem i datą urodzenia staje się kompletnym zestawem narzędzi do oszustw, przejęcia konta lub ukierunkowanego phishingu.

Wielu użytkowników nie zastanawia się dwa razy przed przesłaniem zdjęcia paszportu lub powiązaniem konta bankowego z nową aplikacją, zwłaszcza gdy usługa obiecuje wygodę, taką jak natychmiastowa wymiana walut lub handel kryptowalutami. Ale każdy przesłany dokument i każde powiązane konto powiększa to, co czasami nazywa się „śladem danych" firmy — całkowitą ilość wrażliwych informacji, które posiada i musi chronić. Im więcej firma zbiera, tym większe szkody może wyrządzić pojedyncze naruszenie lub pojedynczy oszukany pracownik.

Nie oznacza to, że aplikacje fintech są z natury niebezpieczne, ale oznacza, że klienci powinni traktować prośby o weryfikację tożsamości z taką samą starannością, jaką stosowaliby wobec każdej innej wrażliwej transakcji. Nie każda aplikacja potrzebuje tego samego poziomu dokumentacji i nie każda firma ma równie rygorystyczne wewnętrzne mechanizmy kontroli obsługi wniosków organów ścigania lub regulacyjnych.

Co to oznacza dla Ciebie

Jeśli korzystasz z Revolut lub podobnej usługi fintech, nie ma potrzeby paniki, ale warto podjąć kilka konkretnych kroków. Po pierwsze, monitoruj swoje konta pod kątem nietypowej aktywności, szczególnie jeśli otrzymałeś powiadomienie, że Twoje dane mogły zostać naruszone. Po drugie, bądź czujny na kolejne próby phishingu. Atakujący, którzy zdobyli dokumenty tożsamości i dane kontaktowe, często wykorzystują je do tworzenia przekonujących wiadomości scamowych odwołujących się do prawdziwych danych osobowych, co czyni je trudniejszymi do rozpoznania niż generyczne e-maile phishingowe.

Mówiąc szerzej, ten incydent przypomina, by krytycznie myśleć o tym, którym aplikacjom powierzasz dokumenty tożsamości. Przed przesłaniem paszportu lub powiązaniem konta bankowego sprawdź, czy firma ma historię przejrzystości w zakresie incydentów bezpieczeństwa, czy oferuje jasne mechanizmy kontroli prywatności i czy wymagany poziom weryfikacji rzeczywiście odpowiada usłudze, na którą się rejestrujesz. Stosowanie minimalizacji danych, udostępnianie tylko tego, co ściśle konieczne, i unikanie niepotrzebnego ponownego wykorzystywania tych samych dokumentów na wielu platformach może również zmniejszyć Twoją ekspozycję, jeśli jakakolwiek firma doświadczy naruszenia.

Korzystanie z narzędzi prywatności, takich jak VPN, nie zapobiegnie naruszeniu po stronie firmy takiemu jak to, ponieważ ekspozycja nastąpiła po stronie Revolut, a nie przez przechwycone połączenie. Jednak utrzymywanie silnej higieny kont, unikalnych haseł i ostrożnych nawyków udostępniania pozostaje jedną z najlepszych dostępnych obron dla codziennych użytkowników poruszających się w coraz bardziej spragnionym dokumentów krajobrazie aplikacji finansowych.

Najważniejsze wnioski

Uważnie przejrzyj wszelkie powiadomienia od Revolut i uważaj na podejrzane wiadomości następcze odwołujące się do Twoich danych osobowych. Rozważ zamrożenie lub monitorowanie swojej zdolności kredytowej, jeśli w grę wchodziły kopie paszportu lub dokumentów tożsamości. W przyszłości zastanów się, dlaczego aplikacja potrzebuje określonych dokumentów, zanim je prześlesz, i w miarę możliwości rozłóż weryfikację finansową i tożsamości na mniejszą liczbę platform. Śledzenie informacji o incydentach takich jak to naruszenie danych Revolut to jeden z najprostszych sposobów ochrony siebie w środowisku, w którym nawet zaufane firmy mogą dać się nabrać na przekonującą próbę podszycia się.