Revolut naletěl podvodníkům. Předal jim doklady klientů i historii plateb

Žádost z úřední domény působila důvěryhodně

Revolut předal citlivé údaje části klientů podvodníkům, kteří se vydávali za vládní agenturu. Nešlo jen o jména a e-maily: mezi uvedenými kategoriemi jsou kopie dokladů i historie transakcí. Firma incident potvrdila a informovala dotčené zákazníky.

Podvodná žádost přišla z e-mailové domény skutečné vládní instituce. Podle oznámení klientům komunikace prošla ověřením domény, a Revolut ji proto považoval za pravou. Na jejím základě pak poskytl požadované informace neoprávněné osobě.

Platné ověření domény ale samo nepotvrzuje oprávněnost požadavku na klientská data. Z dostupného popisu nelze určit, jak útočníci přístup k dané komunikaci získali. Není proto namístě tvrdit, že prolomili systémy samotného Revolutu.

Unikly doklady, selfie i historie transakcí

Podle oznámení, které popsal BleepingComputer, unikly identifikační a kontaktní údaje: celé jméno, datum narození, povolání, poštovní i e-mailová adresa a telefonní číslo. Pro zasažené klienty tím ale rozsah předaných informací nekončí.

Útočníci získali také kopie pasů či řidičských průkazů a snímky obličeje používané při ověřování zákazníka. Jde o podklady, které lidé poskytují finanční službě k doložení totožnosti. Jejich únik je závažnější než samotná ztráta kontaktů.

Součástí předaných dat byly rovněž výpisy z účtů s čísly IBAN, záznamy o výběrech a historie transakcí včetně bitcoinových. V kombinaci s doklady tak mohou odhalovat nejen totožnost člověka, ale také jeho finanční aktivity a vazby.

Kolika klientů se incident týká, Revolut neřekl

Revolut tvrdí, že incident zasáhl omezený počet zákazníků, přesné číslo však nezveřejnil. Nelze proto mluvit o plošném úniku dat všech klientů. V dostupném vyjádření firma neupřesnila ani to, zda jsou mezi postiženými uživatelé z Česka.

Vyšetřovatel kryptoměnových podvodů ZachXBT vyslovil podezření, že cílem byli zejména majetní klienti. Jde však o jeho hodnocení, nikoliv o potvrzený závěr vyšetřování. Ani rozsah jejich majetku či případnou finanční škodu zpráva nedokládá.

Firma podle svého vyjádření zablokovala použitou adresu a upozornila příslušnou agenturu, policii i regulátory. Zároveň uvádí, že její systémy a peníze zákazníků nebyly zasaženy. To však nic nemění na tom, že citlivá data už předala podvodníkům.

Zdroje:

• autorský text / Mobilizujeme.cz
• Bleeping Computer
• London South East