Revolut передав шахраям фінансові дані клієнтів: серед витоку паспорти та історія біткоїн-транзакцій

Як повідомляє TechCrunch, британський необанк Revolut підтвердив передачу конфіденційної інформації частини своїх клієнтів невідомим зловмисникам. Шахраї застосували соціальну інженерію та надіслали запит на отримання даних з електронної адреси, яка справді належала державному органу, завдяки чому повідомлення пройшло перевірки автентичності домену.

Унаслідок інциденту сторонні особи могли отримати дати народження, адреси, телефони, копії документів та фінансову інформацію клієнтів. У деяких випадках розкриті відомості включали IBAN, адреси криптогаманців і повну історію транзакцій, зокрема перекази в біткоїнах, пише Kreschatic.

Як шахраї змусили Revolut передати інформацію

Схема відрізнялася від звичайного фішингу тим, що підроблений запит надійшов не з очевидно фальшивої адреси. Зловмисники скористалися легітимним доменом державного органу, тому електронний лист виглядав як справжнє офіційне звернення.

Revolut описав метод, який застосували зловмисники, як ретельно підготовлену спробу видати себе за уповноваженого відправника.

У компанії охарактеризували інцидент такими словами:

«Майстерно замаскована шахрайська схема з підробкою особи».

Неавторизована третя сторона використала справжній домен державної установи для надсилання фальшивих запитів на отримання інформації. Саме ця обставина дозволила зверненню пройти перевірки, після чого конфіденційні відомості були передані шахраям.

Після виявлення обману Revolut заблокував відповідну електронну адресу. Про інцидент також повідомили державний орган, домен якого використали зловмисники, правоохоронні структури та регуляторів.

Назву державної установи компанія не розкрила. Так само не повідомляється, в якій саме країні або на якому ринку стався інцидент.

Які дані клієнтів Revolut потрапили до шахраїв

Перелік розкритої інформації виявився значним і в окремих випадках охоплював не лише контактні або ідентифікаційні відомості, а й детальну фінансову історію користувачів.

Серед даних, які могли отримати зловмисники:

• дати народження клієнтів;
• поштові адреси;
• адреси електронної пошти;
• номери телефонів;
• копії паспортів;
• копії посвідчень водія;
• виписки з рахунків окремих клієнтів;
• номери IBAN;
• адреси криптовалютних гаманців;
• історія виведення коштів;
• повна історія транзакцій;
• інформація про перекази в біткоїнах.

Водночас біометричні дані, які використовуються під час підтвердження особи, зокрема селфі клієнтів, у межах цього інциденту розкриті не були.

Revolut повідомив, що витік зачепив лише частину користувачів, однак конкретної кількості постраждалих не назвав.

Масштаб інциденту компанія описала одним формулюванням:

Постраждала «обмежена» кількість клієнтів.

З усіма користувачами, яких стосувався витік, компанія, за її твердженням, уже зв’язалася безпосередньо.

Що в Revolut заявили про рахунки та гроші клієнтів

Попри передачу конфіденційних відомостей стороннім особам, Revolut заявив, що безпосереднього зламу внутрішньої інфраструктури в межах описаного інциденту не сталося.

Компанія окремо наголосила на стані своїх систем і клієнтських коштів:

«Системи Revolut і кошти клієнтів не постраждали».

Таким чином, інцидент був пов’язаний не зі зламом банківської системи, а з процедурою опрацювання запиту на інформацію. Зловмисникам вдалося зробити фальшиве звернення достатньо переконливим, щоб воно було сприйняте як легітимне.

Чому витік особливо небезпечний для власників криптовалют

Першим публічно про інцидент повідомив дослідник блокчейну ZachXBT. Він оприлюднив лист Revolut, який отримали постраждалі клієнти.

За його спостереженнями, атака могла бути спрямована насамперед на заможних власників криптовалют. Якщо шахраї одночасно отримують паспортні дані, фізичну адресу, телефон, відомості про банківські рахунки та адреси криптогаманців, це дозволяє пов’язати реальну особу з її криптовалютними активами.

Особливе занепокоєння ситуація викликає на тлі так званих wrench attacks — фізичних нападів на власників криптовалют, під час яких злочинці силою або погрозами вимагають надати доступ до цифрових активів.

Один із користувачів, інформація якого потрапила до сторонніх осіб, описав ситуацію в соціальній мережі X.

Постраждалий звернув увагу на ризики, які виникають через накопичення сервісами великого обсягу інформації під час процедури KYC:

«Прокинувся, а всі мої дані злиті в Revolut. Це яскраве нагадування про те, що KYC не принесло жодної реальної користі, а лише наразило багатьох на небезпеку».

Інші криптокомпанії також зіткнулися з витоками

Інцидент із Revolut стався на тлі інших проблем із безпекою даних у криптовалютній індустрії.

Виробник апаратних криптогаманців Trezor нещодавно повідомляв про розширення масштабів витоку, пов’язаного з одним із постачальників служби підтримки.

Також повідомлялося про витік на платформі X, після якого користувачів масово змушували змінювати паролі.

На цьому тлі випадок із Revolut демонструє інший тип ризику. Для отримання конфіденційних відомостей зловмисникам не обов’язково безпосередньо ламати банківську інфраструктуру, якщо вони можуть переконливо видати себе за державну структуру, яка має право запитувати інформацію.

Інцидент стався перед важливим етапом розвитку Revolut

Витік припав на важливий для компанії період. У вересні американський регулятор Office of the Comptroller of the Currency надав Revolut умовний дозвіл на створення національного банку у США.

Компанія також розглядає можливість проведення первинного публічного розміщення акцій. Потенційна оцінка Revolut у разі IPO може становити близько 200 мільярдів доларів.

Одночасно фінтех-компанія розширює міжнародну присутність. Серед нових ринків називаються Індія, Мексика, Франція та Об’єднані Арабські Емірати.

Revolut обслуговує понад 80 мільйонів клієнтів більш ніж у 30 країнах. Через масштаб компанії процедури перевірки офіційних запитів на отримання клієнтської інформації мають особливе значення для захисту персональних і фінансових даних.

Експерти вказали на системну проблему перевірки запитів

Аналітики з кібербезпеки звернули увагу, що інцидент продемонстрував ризик надмірної залежності від автентифікації електронною поштою.

Якщо зловмисник отримує можливість надсилати повідомлення з легітимного домену державного органу, стандартні перевірки справжності електронної пошти можуть підтвердити технічну автентичність відправника, але не встановити, чи має конкретна особа право запитувати конфіденційну інформацію.

Для Revolut це не перший серйозний інцидент, пов’язаний із безпекою. Три роки тому злочинні угруповання вже використовували вразливість у платіжній системі компанії.

Нинішній випадок водночас показує інший вектор атаки — використання довіри до державних електронних доменів і процедур обміну інформацією замість безпосереднього технічного проникнення до систем фінансової установи.

Нагадаємо, раніше ми писали про налаштування батьківського контролю ChatGPT для безпечного користування дитиною вдома щодня.