Breșă gravă la Revolut: date sensibile ale unor clienți au ajuns la o persoană neautorizată
Revolut a confirmat un incident de securitate în urma căruia informații sensibile despre un număr limitat de clienți au fost transmise unei terțe părți neautorizate. Compania britanică a fost indusă în eroare de solicitări care păreau să provină de la o instituție guvernamentală, deoarece mesajele au fost trimise folosind un domeniu oficial de e-mail.
Potrivit informațiilor transmise clienților afectați, datele divulgate pot fi deosebit de sensibile. Printre acestea se numără numele și datele de contact, data nașterii, adresele poștale și de e-mail, numerele de telefon, precum și copii ale unor documente de identitate, inclusiv pașapoarte și permise de conducere. În anumite cazuri, informațiile ar fi putut include selfie-uri utilizate pentru verificarea identității, extrase de cont și istoricul tranzacțiilor.
Mecanismul atacului este unul neobișnuit, noteaza Tech Crunch. Nu ar fi fost vorba despre spargerea directă a sistemelor informatice ale Revolut, ci despre o operațiune de impersonare în care atacatorii au utilizat o adresă asociată domeniului legitim al unei agenții guvernamentale. Solicitările au trecut verificările tehnice care, în mod normal, contribuie la stabilirea autenticității mesajelor, iar Revolut a considerat cererile drept legitime și a furnizat informațiile solicitate.
Compania susține că a identificat ulterior frauda, a blocat adresa de e-mail utilizată și a notificat agenția guvernamentală al cărei domeniu fusese compromis, precum și autoritățile de aplicare a legii și organismele de reglementare relevante. Revolut afirmă că fondurile clienților și sistemele sale nu au fost afectate de incident.
Revolut nu a făcut public numărul exact al persoanelor afectate și nici nu a precizat agenția guvernamentală al cărei domeniu a fost folosit în operațiune. Compania spune însă că persoanele vizate au fost contactate individual și că le oferă sprijin în urma incidentului.
Cazul este important pentru industria financiară deoarece arată cât de sofisticate au devenit atacurile de tip phishing și impersonare. În loc să încerce să spargă infrastructura unei bănci, atacatorii au exploatat procedurile interne prin care instituțiile financiare răspund solicitărilor oficiale de informații. Un domeniu guvernamental autentic poate oferi suficientă credibilitate pentru ca o solicitare frauduloasă să fie tratată drept legitimă.
Incidentul ridică și problema volumului de informații pe care instituțiile financiare îl dețin despre clienți. Pentru verificarea identității și respectarea obligațiilor de reglementare, fintech-urile colectează documente de identitate, date personale și informații despre tranzacții. În cazul unei divulgări neautorizate, riscurile nu se limitează la compromiterea unei adrese de e-mail sau a unui număr de telefon, ci pot include tentative ulterioare de fraudă și furt de identitate.
Potrivit informațiilor disponibile, cercetătorul în securitate ZachXBT a atras atenția asupra mesajului transmis de Revolut clienților afectați și a sugerat că printre victime s-ar putea afla utilizatori cu averi importante. Această informație nu a fost însă confirmată oficial de Revolut.
Incidentul vine într-un moment important pentru companie. Revolut are peste 80 de milioane de clienți la nivel global și își extinde rapid operațiunile bancare în mai multe piețe. În același timp, compania se află într-o perioadă de expansiune internațională și analizează inclusiv perspectiva unei viitoare listări bursiere, ceea ce face ca problemele privind securitatea datelor și controalele interne să capete o importanță suplimentară.
Deocamdată, Revolut insistă că incidentul a fost limitat și că banii clienților nu au fost în pericol. Totuși, faptul că o terță parte a reușit să obțină date personale și documente de identificare printr-o solicitare falsă demonstrează că securitatea unei instituții financiare nu depinde doar de protecția serverelor. Procedurile de verificare a identității solicitantului și controalele aplicate înaintea divulgării datelor sunt la fel de importante într-un sistem financiar digitalizat.
