Revolut potwierdza wyciek danych klientów. Oszust wykorzystał do tego prawdziwą domenę rządową

Wyciek danych klientów nie zawsze wymaga włamania do serwerów ani przełamania zabezpieczeń. Revolut padł ofiarą oszustwa, w którym przestępca wykorzystał wiarygodność korespondencji pochodzącej z prawdziwej domeny rządowej. W efekcie część danych gromadzonych podczas weryfikacji klientów trafiła w niepowołane ręce. Sprawa pokazuje, jak łatwo prawidłowe mechanizmy uwierzytelniania poczty mogą być wykorzystane w ataku na procedury instytucji finansowej.

Revolut przekazał nieuprawnionej osobie dane części klientów po otrzymaniu fałszywego żądania wysłanego z prawdziwej domeny rządowej. Ujawnione informacje mogły obejmować dokumenty tożsamości, selfie, dane kontaktowe, IBAN-y i historie transakcji.

Po wycieku danych milionów Polaków rząd bierze się za firmy, których dotąd nikt skutecznie nie kontrolował

Revolut potwierdził, że padł ofiarą wyrafinowanego oszustwa polegającego na podszyciu się pod instytucję rządową. Przestępca nie musiał włamywać się do systemów fintechu. Wykorzystał nieautoryzowane konto znajdujące się w prawdziwej domenie rządowej i za jego pomocą wysłał żądania informacji o klientach. Wiadomości miały prawidłowe uwierzytelnienie domeny, przez co zostały uznane za autentyczne. Według informacji przekazanych poszkodowanym, dane mogły obejmować imiona i nazwiska, daty urodzenia, adresy, adresy e-mail, numery telefonów, kopie paszportów i praw jazdy oraz selfie wykorzystywane podczas weryfikacji tożsamości. Wśród potencjalnie ujawnionych informacji znalazły się również wyciągi, numery IBAN, dane dotyczące wypłat i pełne historie transakcji, w tym operacje związane z bitcoinem.

Dwa tygodnie milczenia, jedno oświadczenie. Prezes MyDr przeprasza, ale nie odpowiada na najważniejsze pytanie

Revolut określa liczbę poszkodowanych jako ograniczoną, ale nie podał konkretnej liczby ani nazwy agencji, której domenę wykorzystano. Firma poinformowała, że po wykryciu oszustwa zablokowała adres e-mail, powiadomiła odpowiednią instytucję rządową, organy ścigania i regulatorów oraz skontaktowała się z klientami, których dotyczył incydent. Jednocześnie zapewnia, że systemy Revoluta i środki klientów pozostały bezpieczne. Sprawę nagłośnił również śledczy blockchainowy ZachXBT, który ocenił, że atak mógł być ukierunkowany na zamożniejszych użytkowników. To jednak jego ocena, a nie oficjalne potwierdzenie Revoluta.

Telewizory LG OLED skanują sieć domową i mogą rejestrować dźwięk w trybie czuwania. Szokujące wyniki śledztwa

Incydent przypomina o ograniczeniach samego uwierzytelniania poczty. SPF, DKIM czy DMARC mogą potwierdzić, że wiadomość pochodzi z infrastruktury danej domeny, ale nie dowodzą, że osoba korzystająca z konkretnej skrzynki ma prawo żądać danych klientów. W tym przypadku właśnie to rozróżnienie okazało się najważniejsze. Nie jest to pierwszy poważny incydent bezpieczeństwa Revoluta. We wrześniu 2022 roku firma potwierdziła atak, w którym dane 50 150 klientów zostały uzyskane przez nieuprawnioną stronę. W 2023 roku ujawniono natomiast lukę w amerykańskim systemie płatności, która pozwoliła przestępcom wyprowadzić ponad 20 mln dolarów należących do firmy Revolut.