Revolut підтвердила витік даних, який не був пов'язаний зі зламаними серверами, викраденими паролями чи використаними вразливостями програмного забезпечення. Натомість фінтех-гігант стверджує, що шахраї просто попросили дані, видаючи себе за особу з законними повноваженнями запитувати їх. Компанія повідомила постраждалих клієнтів та поінформувала відповідний урядовий орган, правоохоронні органи й фінансових регуляторів, що стало останнім розділом інциденту, за яким vpn.social стежить у міру появи нових деталей.

Що сталося: фальшиві запити, справжні дані

Згідно з власним описом інциденту від Revolut, витік стався внаслідок того, що компанія назвала витонченою шахрайською схемою з самозванством. Неавторизована третя сторона зуміла видати себе за законний урядовий орган і використала цю фальшиву ідентичність, щоб подати запити на дані до Revolut. Оскільки такі запити зазвичай надходять від правоохоронних органів або регуляторних установ, які проводять законні розслідування, від фінансових установ зазвичай очікують швидкого виконання, часто без тривалої перевірки, яка застосовується для інших видів доступу до даних.

Саме це очікування, схоже, й використали шахраї. Замість того щоб пробиватися крізь брандмауери чи шифрування, вони скористалися довірою, закладеною в сам процес комплаєнсу. Відтоді Revolut безпосередньо повідомила постраждалих клієнтів і залучила справжній урядовий орган, чию ідентичність було використано, а також правоохоронні органи та фінансових регуляторів, які наглядають за діяльністю компанії.

Це не перший випадок, коли спливли деталі цього інциденту. У попередніх матеріалах, висвітлених vpn.social, описувалося, як паспорти було злито через фальшивий запит, пов'язаний із тією ж схемою, а в подальшій публікації детально розповідалося, як витік також розкрив дані, пов'язані з криптовалютою, разом з документами, що посвідчують особу. Читачам, які хочуть повнішу хронологію, варто переглянути обидва матеріали разом із цим підтвердженням від Revolut.

Які дані клієнтів було розкрито

Revolut не опублікувала повний перелік усіх викрадених даних, але попереднє висвітлення цього інциденту вказувало, що серед розкритих записів були документи, що посвідчують особу, зокрема паспортна інформація. Характер шахрайських запитів свідчить, що атакувальники прагнули саме тих персональних і фінансових ідентифікаторів, які урядові органи та правоохоронці законно потребували б під час розслідування, а отже, дані, ймовірно, містять інформацію, безпосередньо пов'язану з особою клієнта та активністю на його рахунку.

Revolut заявила, що безпосередньо повідомляє клієнтів, чиї дані були порушені, а це означає, що користувачам застосунку слід стежити за офіційними повідомленнями від компанії, а не припускати, що їх це не торкнулося лише тому, що вони ще нічого не чули.

Чому соціальна інженерія перемагає сильний захист

Цей інцидент примітний тим, чим він не є. Це не історія про неправильно налаштований сервер, невиправлену вразливість чи атаку перебором на зашифровані системи. Revolut, як і більшість великих фінтех-платформ, активно інвестує в технічні засоби безпеки. Ці засоби значною мірою не мають значення, коли атакувальник переконує людський процес, а не машину, просто передати дані.

Фальшиві або підроблені запити від урядових органів і правоохоронців є відомою технікою в усій технологічній індустрії, саме тому що вони націлені на прогалину у верифікації між «це виглядає офіційно» та «це підтверджено офіційно». Компанії, які регулярно отримують справжні юридичні запити, можуть звикнути діяти швидко, що є ефективним для реальних розслідувань, але створює можливість для самозванців, які достатньо добре розуміються на документації та термінології, щоб виглядати переконливо.

Ця відмінність важлива для того, як клієнти мають думати про ризик надалі. Витік, спричинений технічним недоліком, часто виправляється один раз, після чого конкретну вразливість закривають. Витік, спричинений успішним самозванством, виявляє слабкість процесу, яку, теоретично, можуть спробувати використати знову, чи то проти Revolut, чи то проти іншої установи, доки процедури верифікації не буде посилено.

Що це означає для вас

Якщо ви клієнт Revolut, практичний ризик тут — це розкриття даних, що посвідчують особу, а не обов'язково пряме захоплення рахунку. Такі документи, як скани паспортів та дані, що посвідчують особу, цінні для шахраїв, оскільки їх можна використати для відкриття нових рахунків, подання заявок на кредит або обходу перевірок особи в інших установах, іноді задовго після того, як початковий витік зникне із заголовків. Ось чому такого роду розкриття слід розглядати як триваючий ризик, а не як одноразову подію, на яку треба відреагувати раз і забути.

Revolut уже залучила правоохоронні органи та регуляторів, тож інституційна реакція вже триває. Але окремі клієнти все ще несуть тягар моніторингу власного ризику, оскільки жодне повідомлення від компанії не може повністю скасувати той факт, що конфіденційні документи побачила неавторизована сторона.

Практичні кроки, які варто зробити зараз

  • Стежте за офіційними листами-повідомленнями від Revolut і перевіряйте їхню справжність через застосунок, а не натискаючи посилання в небажаних повідомленнях.
  • Моніторте свою кредитну історію та будь-які рахунки, пов'язані з вашими документами, що посвідчують особу, на предмет нової активності, яку ви не впізнаєте.
  • Увімкніть додаткові кроки верифікації на своєму акаунті Revolut, як-от двофакторну автентифікацію, якщо ви ще цього не зробили.
  • Ставтеся скептично до будь-якого подальшого спілкування, яке нібито надходить від Revolut, урядового органу чи правоохоронців і посилається на цей витік, оскільки шахраї часто використовують новини про витік для вторинних фішингових спроб.
  • Перегляньте попередні матеріали vpn.social про розкриття паспортних даних і даних про біткоїни, щоб отримати повнішу хронологію, перш ніж вирішувати, які додаткові захисні заходи мають сенс для вашої ситуації.

Витік даних Revolut через фальшивий урядовий запит — це нагадування про те, що навіть добре захищені фінансові платформи залишаються вразливими до експлуатації людської довіри, а не зламу коду. Пильність до офіційних повідомлень і уважне стеження за своїми персональними даними в найближчі тижні — найдієвіший спосіб обмежити наслідки.