Gigantul fintech Revolut a confirmat o breșă de date care a expus informații sensibile ale clienților după ce un angajat a tratat ca legitimă o cerere frauduloasă din partea unei persoane care se dădea drept o agenție guvernamentală. Compania a dezvăluit că documente de identitate, inclusiv pașapoarte și permise de conducere, împreună cu date de contact și înregistrări financiare, au fost partajate cu actorul amenințării. Numărul exact al clienților afectați nu a fost dezvăluit.

Nu este prima dată când Revolut a trebuit să explice cum o tentativă de impersonare convingătoare a trecut de apărările sale. După cum am relatat în raportul nostru anterior despre breșa de date Revolut care a implicat un e-mail guvernamental fals, atacatorii au găsit în mod repetat succes pur și simplu cerând date în timp ce se dădeau drept o figură autoritară, în loc să exploateze vulnerabilități software sau să spargă parole prin forță brută.

Ce s-a întâmplat și de ce contează

Conform rapoartelor despre incident, breșa nu a provenit de la malware, un server piratat sau o parolă furată. În schimb, cineva care se dădea drept o agenție guvernamentală a trimis o cerere care părea suficient de oficială pentru ca un angajat Revolut să acționeze în baza ei. Rezultatul a fost că datele clienților, inclusiv copii ale documentelor de identitate precum pașapoarte și permise de conducere, date de naștere, adrese poștale și de e-mail și detalii ale activității financiare, au fost înmânate direct atacatorului.

Acest tip de atac de inginerie socială este deosebit de dificil de combatut doar cu instrumente tehnice. Firewall-urile, criptarea și autentificarea multi-factor protejează împotriva multor amenințări, dar nu pot opri întotdeauna o ființă umană să ia o decizie sub presiune. Când o cerere pare oficială, vine cu formatarea corectă sau face referire la limbaj de reglementare real, chiar și personalul bine instruit poate fi păcălit.

Pentru Revolut în mod specific, acest incident evidențiază o problemă mai largă a industriei. Aplicațiile fintech solicită în mod obișnuit clienților să încarce fotografii cu pașaportul, permise de conducere și alte documente de identitate ca parte a verificării Know Your Customer (KYC), o cerință legală menită să prevină frauda și spălarea banilor. Dar odată ce aceste date sunt colectate, ele devin o țintă de mare valoare în sistemele unei companii, iar securitatea lor depinde în întregime de procesele interne, nu doar de tehnologie.

De ce aplicațiile fintech sunt o țintă principală

Aplicațiile financiare ocupă o poziție unică în ecosistemul de date. Ele combină două categorii de informații pe care infractorii le prețuiesc cel mai mult: documente de identitate verificate și activitate financiară detaliată. O simplă scanare a pașaportului este valoroasă pentru furtul de identitate. Împreună cu istoricul tranzacțiilor unui client, adresa și data nașterii, devine un set complet de instrumente pentru fraudă, preluarea contului sau phishing țintit.

Mulți utilizatori nu se gândesc de două ori înainte de a încărca o fotografie cu pașaportul sau de a conecta un cont bancar la o aplicație nouă, mai ales când serviciul promite comoditate precum schimb valutar instantaneu sau tranzacționare cu criptomonede. Dar fiecare document încărcat și fiecare cont conectat extinde ceea ce este uneori numit „amprenta de date" a unei companii, cantitatea totală de informații sensibile pe care le deține și trebuie să le protejeze. Cu cât o companie colectează mai mult, cu atât mai mult rău poate cauza o singură breșă sau un singur angajat păcălit.

Aceasta nu înseamnă că aplicațiile fintech sunt în mod inerent nesigure, dar înseamnă că clienții ar trebui să trateze cererile de verificare a identității cu aceeași atenție pe care ar aplica-o oricărei alte tranzacții sensibile. Nu fiecare aplicație are nevoie de același nivel de documentație și nu fiecare companie are controale interne la fel de riguroase pentru gestionarea cererilor din partea autorităților de aplicare a legii sau de reglementare.

Ce înseamnă acest lucru pentru tine

Dacă folosești Revolut sau un serviciu fintech similar, nu este nevoie să intri în panică, dar merită să iei câțiva pași concreți. În primul rând, monitorizează-ți conturile pentru activități neobișnuite, în special dacă ai fost notificat că datele tale ar putea fi fost afectate. În al doilea rând, fii atent la tentativele ulterioare de phishing. Atacatorii care obțin documente de identitate și date de contact le folosesc adesea pentru a crea mesaje frauduloase convingătoare care fac referire la informații personale reale, făcându-le mai greu de identificat decât e-mailurile generice de phishing.

În general, acest incident este o reamintire să gândești critic despre ce aplicații ai încredere cu documente de identitate. Înainte de a încărca un pașaport sau de a conecta un cont bancar, verifică dacă compania are un istoric de transparență cu privire la incidentele de securitate, dacă oferă controale clare de confidențialitate și dacă nivelul de verificare solicitat se potrivește efectiv cu serviciul pentru care te înscrii. Practicarea minimizării datelor, partajarea doar a ceea ce este strict necesar și evitarea reutilizării inutile a acelorași documente pe mai multe platforme pot reduce, de asemenea, expunerea ta dacă orice companie suferă o breșă.

Folosirea instrumentelor de confidențialitate precum un VPN nu va preveni o breșă de partea companiei ca aceasta, deoarece expunerea a avut loc la capătul Revolut, nu printr-o conexiune interceptată. Dar menținerea unei igiene puternice a conturilor, a parolelor unice și a obiceiurilor de partajare precaute rămâne una dintre cele mai bune apărări disponibile utilizatorilor obișnuiți care navighează într-un peisaj de aplicații financiare din ce în ce mai înfometate de documente.

Concluzii cheie

Revizuiește cu atenție orice notificare de la Revolut și fii atent la mesaje suspecte ulterioare care fac referire la detaliile tale personale. Ia în considerare blocarea sau monitorizarea creditului tău dacă au fost implicate copii ale pașaportului sau documentelor de identitate. De acum înainte, întreabă de ce o aplicație are nevoie de anumite documente înainte de a le încărca și distribuie verificarea financiară și de identitate pe cât mai puține platforme posibil. Rămânerea informată despre incidente precum această breșă de date Revolut este una dintre cele mai simple modalități de a te proteja într-un mediu în care chiar și companiile de încredere pot cădea pradă unei tentative de impersonare convingătoare.