Британская финансовая компания Revolut подтвердила инцидент, в ходе которого конфиденциальные данные ограниченного числа клиентов были раскрыты неуполномоченной стороне после получения мошеннических запросов информации, отправленных с домена электронной почты, принадлежащего легитимному государственному учреждению. Компания сообщила, что напрямую уведомила затронутых клиентов, а также проинформировала соответствующее государственное учреждение, правоохранительные органы и профильные финансовые регуляторы.
Согласно уведомлению, которое Revolut отправила клиентам и которое изучил сайт TechCrunch, раскрытые данные включали сведения, удостоверяющие личность, и контактную информацию, такую как даты рождения, почтовые адреса, адреса электронной почты и номера телефонов. Данные также могли включать копии документов, удостоверяющих личность, в том числе паспортов и водительских удостоверений. Компания уточнила, что информация могла также содержать личные фотографии для верификации, выписки по счетам и записи о транзакциях.
Подробности пока не раскрыты
Revolut не назвала точное число затронутых клиентов, ограничившись описанием «ограниченного» числа. Компания также не уточнила, был ли инцидент ограничен одним рынком, и отказалась раскрыть название государственного учреждения, чей электронный домен использовался в ходе выдачи себя за другое лицо.
Компания сообщила, что неуполномоченная сторона использовала домен легитимного государственного учреждения для отправки поддельных запросов на получение информации. После обнаружения схемы Revolut заблокировала использованный адрес электронной почты и уведомила соответствующие официальные стороны. Компания добавила, что её системы и средства клиентов не пострадали в результате инцидента; это уточнение отличает утечку данных клиентов от прямого взлома систем или финансовых счетов.
Почему эта новость важна?
Важность инцидента заключается в том, что злоумышленник, согласно имеющейся информации, не взламывал государственный домен или систему Revolut, а воспользовался доверием к легитимному адресу электронной почты, чтобы получить несанкционированное раскрытие данных. Это делает инцидент примером рисков, связанных с проверкой запросов на предоставление данных, когда отправитель выглядит официальным, особенно в финансовых организациях, работающих с документами, удостоверяющими личность, и крайне конфиденциальными сведениями о транзакциях.
Специализирующийся на криптовалютах исследователь по вопросам безопасности ZachXBT отметил, что инцидент, по всей видимости, был направлен на пользователей с высоким уровнем благосостояния, однако Revolut не подтвердила эту информацию в уведомлении или процитированных заявлениях. Компания заявляет, что у неё более 80 миллионов клиентов по всему миру и что она работает как банк более чем в 30 странах, поэтому точный географический масштаб воздействия остаётся открытым вопросом.
Контекст и ограничения
Инцидент произошёл на фоне расширения банковского присутствия Revolut в Европе и на других рынках, включая Индию, Мексику, Францию и Объединённые Арабские Эмираты. Управление контролёра денежного обращения США также предоставило компании условное одобрение на создание национального банка, запуск которого ожидается в первой половине 2027 года. Кроме того, появились сообщения о рассмотрении потенциального публичного размещения акций, которое может повысить стоимость компании до 200 миллиардов долларов по сравнению с частной оценкой в 75 миллиардов долларов в ноябре.
Опубликованная информация не содержит данных о числе затронутых записей, продолжительности действия мошеннических запросов или дополнительных мерах, которые введут регулирующие органы. Поэтому текущая картина ограничивается подтверждением утечки и типами данных, которые могли быть раскрыты, без достаточных оснований для оценки окончательного масштаба или определения того, связан ли инцидент с конкретным рынком или категорией клиентов.