Что произошло в ходе утечки данных Revolut

Revolut подтвердила, что мошенник, выдававший себя за государственное агентство, убедил финтех-компанию передать конфиденциальные записи клиентов. Согласно сообщениям об инциденте, злоумышленник использовал легитимный домен государственной электронной почты, чтобы отправить то, что выглядело как официальный запрос данных, и системы Revolut отреагировали так, как если бы он был подлинным. Пострадали почти 700 клиентов, а переданные данные, как сообщается, включали паспортные данные, селфи, домашние и электронные адреса, номера телефонов, даты рождения, а в некоторых случаях — банковские счета и историю транзакций, включая активность с биткоином.

Никакого вредоносного ПО задействовано не было, и никакая уязвимость в программном обеспечении не эксплуатировалась. Утечка произошла потому, что доверенный канал связи — официально выглядящий адрес государственной электронной почты — был использован для запроса информации, который одобрил человек-проверяющий. Это в равной степени сбой процесса, а не только технический, и стоит прочитать наш предыдущий отчёт о фальшивом государственном письме, с которого началась эта утечка, чтобы узнать больше о том, как разворачивалась эта имитация.

Почему эта утечка отличается: личность, местоположение и деньги в одном файле

В большинстве уведомлений об утечках категории раскрытых данных перечисляются пунктами: имя, электронная почта, номер телефона, адрес. По отдельности каждый пункт кажется управляемым. Но когда одно уведомление объединяет удостоверяющий личность документ, фотографию, домашний адрес, данные финансового счёта и историю транзакций одного и того же человека, это перестаёт выглядеть как список и начинает выглядеть как досье.

Такое сочетание важно, потому что оно устраняет ту неопределённость, которая обычно защищает людей от убедительных мошеннических схем. Преступнику, который уже знает ваше официальное имя, ваше лицо, ваш адрес и ваш банковский баланс, не нужно снова выманивать эту информацию фишингом. Он может использовать её, чтобы звучать убедительно в телефонном разговоре, пройти проверку личности в других учреждениях или составить целевое сообщение, ссылающееся на реальные подробности о ваших финансах. Именно это делает инцидент с Revolut заметным среди недавних утечек в финтехе: это не просто утечка контактной информации, это утечка именно тех данных, которые используются для подтверждения того, кто вы есть.

Что это значит для вас

Если вы клиент Revolut или клиент любого финансового приложения, практический риск от такого рода утечки данных Revolut не в том, что ваш счёт опустошат завтра. Он в том, что украденные данные всплывут позже — в фишинговом письме, где правильно указаны ваше имя и адрес, в телефонном звонке от того, кто называет себя вашим банком и уже знает ваш баланс, или в попытке открыть новые счета или SIM-карты на ваше имя.

Ни VPN, ни менеджер паролей, ни инструмент приватности не могут отменить уже произошедшую утечку. Как только компания передала ваш скан паспорта и финансовые данные злоумышленнику, эти данные вне вашего контроля, независимо от того, какие привычки безопасности вы практикуете afterwards. Что эти инструменты могут сделать — это уменьшить вашу подверженность риску в будущем: ограничить объём личных данных, которыми вы делитесь с каким-либо одним сервисом, затруднить злоумышленникам связывание вашей онлайн-активности с вашей реальной личностью и сократить число мест, где подобная ошибка могла бы снова вас раскрыть.

Практические шаги для защиты себя прямо сейчас

Если вы считаете, что ваши данные могли стать частью этой утечки, или просто хотите быть готовыми, несколько конкретных шагов реально меняют ситуацию:

  • Свяжитесь со своим банком насчёт защиты от подмены SIM-карты. Поскольку злоумышленники, знающие ваше имя, адрес и номер телефона, могут попытаться перехватить ваш мобильный номер, спросите у своего оператора о добавлении PIN-кода или блокировки для предотвращения несанкционированного переноса SIM-карты.
  • Настройте мониторинг кредитной истории или уведомление о мошенничестве. Поскольку паспортные и идентификационные данные находятся в обороте, мониторинг вашей кредитной истории помогает выявить новые счета, открытые на ваше имя, прежде чем они причинят долговременный ущерб.
  • Относитесь скептически к любым контактам, ссылающимся на ваши финансовые данные. Звонящий или отправитель письма, который знает ваш баланс или историю транзакций, не является автоматически законным. Проверяйте через официальные каналы, прежде чем отвечать.
  • Смените пароли и включите многофакторную аутентификацию на вашем аккаунте Revolut и любых связанных финансовых сервисах, даже несмотря на то, что эта утечка не была вызвана украденным паролем.
  • Следите за последующими попытками фишинга, которые используют утёкшие данные, чтобы выглядеть правдоподобно. Мошенники часто ждут недели или месяцы, прежде чем использовать данные из утечек, поэтому бдительность нужно сохранять с течением времени.

Двигаясь вперёд

Утечка данных Revolut — это напоминание о том, что системы проверки личности, а не только пароли, теперь являются основной целью для злоумышленников. Убедить собственный процесс компании передать данные может быть эффективнее любого взлома. Для обычных пользователей вывод не в панике, а в подготовке: заблокируйте аккаунты, которые вы контролируете, следите за признаками злоупотребления и относитесь с повышенной осторожностью к незапрошенным контактам, ссылающимся на ваши финансовые данные. Быть в курсе того, как разворачиваются такие утечки, — это первый шаг к ограничению ущерба, который может нанести следующая.