Фінтех-гігант Revolut підтвердив витік даних, який оголив конфіденційну інформацію клієнтів після того, як співробітник сприйняв шахрайський запит від особи, яка видавала себе за державний орган, як легітимний. Компанія повідомила, що документи, які посвідчують особу, зокрема паспорти та посвідчення водія, а також контактні дані та фінансові записи, були передані зловмиснику. Точна кількість постраждалих клієнтів не розголошується.

Це не перший випадок, коли Revolut мусить пояснювати, як переконлива спроба видати себе за іншу особу оминула його захист. Як зазначалося в нашому попередньому звіті про витік даних Revolut через фальшивий урядовий лист, зловмисники неодноразово досягали успіху, просто просячи дані, видаючи себе за представника влади, а не експлуатуючи вразливості програмного забезпечення чи зламуючи паролі методом перебору.

Що сталося і чому це важливо

Згідно з повідомленнями про інцидент, витік не був спричинений шкідливим програмним забезпеченням, зламаним сервером чи викраденим паролем. Натомість особа, яка видавала себе за державний орган, подала запит, який виглядав достатньо офіційним, щоб співробітник Revolut діяв за ним. Результатом стало те, що дані клієнтів, зокрема копії документів, які посвідчують особу, як-от паспорти та посвідчення водія, дати народження, поштові та електронні адреси, а також відомості про фінансову діяльність, були передані безпосередньо зловмиснику.

Цей тип атаки із соціальної інженерії особливо важко відбити лише технічними засобами. Брандмауери, шифрування та багатофакторна автентифікація захищають від багатьох загроз, але вони не завжди можуть зупинити людину від прийняття рішення під тиском. Коли запит виглядає офіційним, має правильне форматування або посилається на справжню регуляторну термінологію, навіть добре навчений персонал може бути обдурений.

Саме для Revolut цей інцидент підкреслює ширшу проблему галузі. Фінтех-додатки регулярно просять клієнтів завантажувати фотографії паспортів, посвідчень водія та інших документів, які посвідчують особу, у рамках перевірки Know Your Customer (KYC) — законодавчої вимоги, покликаної запобігати шахрайству та відмиванню грошей. Але щойно ці дані зібрано, вони стають високоцінною ціллю, що зберігається в системах компанії, і їхня безпека повністю залежить від внутрішніх процесів, а не лише від технологій.

Чому фінтех-додатки є головною ціллю

Фінансові додатки займають унікальне становище в екосистемі даних. Вони поєднують дві категорії інформації, які злочинці цінують найбільше: підтверджені документи, що посвідчують особу, та детальну фінансову діяльність. Лише скан паспорта є цінним для крадіжки особи. У поєднанні з історією транзакцій клієнта, адресою та датою народження він стає повним набором інструментів для шахрайства, захоплення акаунта або цільового фішингу.

Багато користувачів не замислюються двічі, перш ніж завантажити фото паспорта чи прив'язати банківський рахунок до нового додатка, особливо коли сервіс обіцяє зручність, як-от миттєвий обмін валют чи торгівля криптовалютою. Але кожен завантажений документ і кожен прив'язаний рахунок розширюють те, що іноді називають "цифровим слідом" компанії — загальний обсяг конфіденційної інформації, яку вона зберігає і мусить захищати. Чим більше компанія збирає, тим більшої шкоди може завдати один витік або один обдурений співробітник.

Це не означає, що фінтех-додатки за своєю суттю небезпечні, але це означає, що клієнтам слід ставитися до запитів на перевірку особи з тією ж ретельністю, яку вони застосовують до будь-якої іншої чутливої транзакції. Не кожен додаток потребує однакового рівня документів, і не кожна компанія має однаково суворі внутрішні механізми контролю для обробки запитів від правоохоронних чи регуляторних органів.

Що це означає для вас

Якщо ви користуєтеся Revolut або подібним фінтех-сервісом, панікувати не потрібно, але варто зробити кілька конкретних кроків. По-перше, стежте за своїми рахунками на предмет незвичайної активності, особливо якщо вас повідомили, що ваші дані могли бути порушені. По-друге, будьте пильними щодо подальших спроб фішингу. Зловмисники, які отримують документи, що посвідчують особу, та контактні дані, часто використовують їх для створення переконливих шахрайських повідомлень, які посилаються на справжню особисту інформацію, що робить їх важче помітити, ніж звичайні фішингові листи.

Ширше кажучи, цей інцидент нагадує про необхідність критично мислити щодо того, яким додаткам ви довіряєте документи, що посвідчують особу. Перш ніж завантажити паспорт чи прив'язати банківський рахунок, перевірте, чи має компанія історію прозорості щодо інцидентів безпеки, чи пропонує вона чіткі засоби контролю приватності та чи відповідає рівень запитуваної верифікації послузі, на яку ви реєструєтеся. Дотримання принципу мінімізації даних — обмін лише тим, що строго необхідно, — та уникнення зайвого повторного використання одних і тих самих документів на кількох платформах також можуть зменшити вашу вразливість, якщо будь-яка одна компанія зазнає витоку.

Використання інструментів приватності, як-от VPN, не запобіжить витоку на боці компанії, як цей, оскільки розкриття сталося на стороні Revolut, а не через перехоплене з'єднання. Але підтримання належної гігієни акаунтів, унікальних паролів та обережних звичок обміну даними залишається одним із найкращих засобів захисту, доступних пересічним користувачам в умовах дедалі більш вимогливого до документів ландшафту фінансових додатків.

Ключові висновки

Уважно перегляньте будь-які повідомлення від Revolut і стежте за підозрілими подальшими повідомленнями, що посилаються на ваші особисті дані. Розгляньте можливість заморозити або моніторити свою кредитну історію, якщо були задіяні копії паспорта чи документів, що посвідчують особу. Надалі запитуйте себе, навіщо додатку потрібні певні документи, перш ніж їх завантажувати, і за можливості розподіляйте свою фінансову та ідентифікаційну верифікацію між меншою кількістю платформ. Бути поінформованим про такі інциденти, як цей витік даних Revolut, — один із найпростіших способів захистити себе в середовищі, де навіть перевірені компанії можуть потрапити на гачок переконливої спроби видати себе за іншу особу.

FAQ (translate each question and answer): Q1: Що сталося під час витоку даних у Revolut? A1: Співробітник Revolut сприйняв шахрайський запит від особи, яка видавала себе за державний орган, як легітимний, що призвело до передачі конфіденційних даних клієнтів зловмиснику. Q2: Які типи інформації про клієнтів були розкриті? A2: Розкрита інформація включала документи, що посвідчують особу, як-от паспорти та посвідчення водія, контактні дані, дати народження, поштові та електронні адреси, а також відомості про фінансову діяльність. Q3: Чи був витік пов'язаний зі шкідливим програмним забезпеченням, зламаним сервером або викраденим паролем? A3: Ні. Згідно з повідомленнями, витік не був спричинений шкідливим програмним забезпеченням, зламаним сервером чи викраденим паролем; це була атака із соціальної інженерії. Q4: Скільки клієнтів постраждало від витоку? A4: Revolut не розголосив точну кількість постраждалих клієнтів. Q5: Чому фінтех-додатки є головною ціллю для зловмисників? A5: Вони поєднують підтверджені документи, що посвідчують особу, та детальну фінансову діяльність, які злочинці цінують для крадіжки особи, шахрайства, захоплення акаунта або цільового фішингу. ---END---