Compania de servicii financiare Revolut a confirmat un incident de securitate prin care date personale și financiare ale unor clienți au fost transmise unei părți neautorizate. Această breșă a fost provocată de cereri frauduloase primite de pe un cont de e-mail care folosea un domeniu legitim al unei agenții guvernamentale. Evenimentul a fost evidențiat de cercetătorul în securitate cibernetică ZachXBT, care a publicat notificările primite de clienți pe platforma Telegram.
Datele care au fost expuse sunt extrem de sensibile, cuprind numele, datele de naștere, adresele de e-mail și de domiciliu, precum și numerele de telefon. Printul de identitate afectat include copii ale pașapoartelor, permisele de conducere și chiar selfie-uri utilizate pentru verificarea identității. Totuși, compania a precizat că, deși imaginile de tip selfie au fost accesate, datele biometrice faciale derivate din acestea nu au fost incluse în informațiile transmise.
Pe lângă documentele de identitate, au fost divulgate și informații financiare relevante, precum codurile IBAN, extrase de cont și istoricul complet al tranzacțiilor. Aceasta include detalii despre tranzacțiile cu criptomonede și numerele de referință ale portofelelor digitale. Printre persoanele afectate se numără și fostul director executiv al platformei Mt. Gox, Mark Karpelès. Revolut a asigurat că fundurile clienților sunt în siguranță, deoarece parolele și credențialele de acces nu au fost compromise.
Modul de operare al atacatorilor a fost unul sofisticat, reușind să treacă de verificările tehnice de tipul SPF, DKIM și DMARC. Cererea frauduloasă a fost trimisă de pe un domeniu guvernamental care a fost considerat legitim, ceea ce a indus compania în eroare. Ca instituție reglementată, Revolut este obligată să răspundă cererilor legale de la autorități, iar validitatea tehnică a domeniului a fost suficientă pentru ca solicitarea să fie tratată ca fiind autentică.
Compania a descoperit natura falsă a cererii doar după contactarea directă a agenției guvernamentale pentru clarificări. Revolut a blocat adresa de e-mail respectivă și a notificat autoritățile de protecție a datelor și reglementatorii financiari. Deși nu a precizat numărul exact de clienți afectați, descriind volumul ca fiind limitat, se discută dacă incidentul a vizat în mod special conturile cu sume mari de bani. În prezent, situația este sub ancheta poliției.
În contextul actual al industriei fintech, securitatea datelor rămâne un subiect critic, în special în fața noilor tehnologii de uzurpare a identității. Pe măsură ce platformele financiare digitale se extind global, capacitatea de a gestiona solicitări de date de la autorități devine un punct de vulnerabilitate. Această breșă subliniază importanța verificării nu doar a validității tehnice a unui domeniu, ci și a legitimității reale a solicitantului într-un mediu digital tot mai complex.