Финтех-компания Revolut подтвердила раскрытие конфиденциальных данных ограниченного количества клиентов после того, как неизвестные использовали легитимный домен электронной почты государственного органа для отправки мошеннических запросов. Об инциденте сообщил ончейн-исследователь ZachXBT, отметив, что среди скомпрометированной информации могли быть копии документов, банковские выписки и полная история транзакций, включая переводы биткоина.
Revolut не смогла распознать мошеннический запрос как поддельный, поскольку он поступил с легитимного домена государственного ведомства. Среди данных, которые могли быть раскрыты: полное имя, дата рождения и профессия; домашний адрес, электронная почта и телефон; копии паспорта и/или водительского удостоверения; селфи для верификации; банковские выписки, включая IBAN, статус счета, дату открытия и номер кошелька; записи о выводе средств; полная история транзакций, в частности операции с биткоином. Revolut уточнила, что биометрические данные, полученные при анализе лица, не были скомпрометированы. По данным ZachXBT, атака могла быть целенаправленной на состоятельных клиентов, а несколько пострадавших уже получили официальные уведомления. Точное число пострадавших компания не раскрыла, как и страну инцидента и конкретный госорган, чей домен использовался.
Инцидент вызвал волну критики в соцсети X. Соучредитель Aave Марк Целлер заявил, что узнал о раскрытии своих данных, назвав это напоминанием о том, что KYC не принес существенных преимуществ, создав дополнительные риски для пользователей. Пользователь Никхил Фостер подтвердил получение уведомления и отметил, что среди утечек были копия паспорта, селфи и полная история транзакций, иронично заметив, что «биометрические данные лица» якобы не пострадали. Чарльз Рид заявил, что именно из этой истории узнал об утечке своих данных. Финансовый эксперт Остин Кэмпбелл подчеркнул, что банки и регуляторы «совершенно не готовы» к современным формам мошенничества. Мерт Мумтаз, соучредитель и CEO Helius, отметил, что подобные утечки могут приводить к ограблениям домов, и предложил проводить KYC на основе доказательств с нулевым разглашением.
Представитель Revolut в комментарии TechCrunch подтвердил инцидент, заявив, что компания выявила «сложную внешнюю мошенническую схему выдачи себя за другое лицо». По его словам, Revolut заблокировала использованный адрес и уведомила государственный орган, правоохранителей и регуляторов. «Системы Revolut и средства клиентов не пострадали», – добавил он.