Do incydentu doszło w wyniku udanej próby podszycia się pod instytucję państwową. Według Revoluta osoba stojąca za oszustwem posłużyła się adresem w domenie prawdziwej agencji rządowej i za jego pośrednictwem przesłała fałszywe żądania dotyczące informacji o klientach.
Firma poinformowała, że zdarzenie dotyczyło „ograniczonej liczby” klientów. Po wykryciu nieprawidłowości Revolut zablokował wykorzystywany adres oraz powiadomił właściwą instytucję, organy ścigania, regulatorów zajmujących się ochroną danych i nadzorem nad rynkiem finansowym.
Przedstawiciel firmy przekazał, że systemy Revoluta oraz środki klientów nie zostały naruszone.
Czytaj więcej:
Fałszywy głos prezesa, sfabrykowane wideo podczas wideokonferencji, „pusta” e-faktura w KSeF – nowe metody oszustw są coraz trudniejsze do wykrycia...
Pro
Jakie dane trafiły do oszusta?
Przekazane oszustowi dane obejmował szczegóły wykorzystywane w procedurach weryfikacji tożsamości klienta (KYC - Know Your Customer). Wśród nich znajdowały się m.in. imię i nazwisko, data urodzenia, wykonywany zawód, adres korespondencyjny, adres e-mail oraz numer telefonu. Oszust otrzymał również kopie dokumentów tożsamości, takich jak paszporty lub prawa jazdy, a także zdjęcia wykonane przez klientów w celu potwierdzenia ich tożsamości.
Przekazane informacje obejmowały także dane dotyczące rachunków. Wśród nich znalazły się numery IBAN, statusy i wyciągi z kont, daty ich otwarcia oraz numery referencyjne portfeli. Zakres danych obejmował również informacje o wypłatach i pełną historię transakcji, w tym operacji związanych z bitcoinem.
Revolut nie podał, ilu dokładnie klientów zostało objętych incydentem, przekazał jedynie, że jest to „bardzo nieliczna” grupa klientów i że kontaktuje się z osobami, których dane mogły zostać ujawnione, aby poinformować je o zdarzeniu i zaoferować dodatkowe wsparcie.
Czytaj więcej
Hakerzy wykradli blisko 6 terabajtów danych z berlińskich urzędów i żądają 2 milionów euro okupu. Burmistrz Kai Wegner zapowiedział, że miasto nie...
Nie wiadomo, jak wykorzystano domenę agencji
Instytucje finansowe są zobowiązane do realizowania prawidłowych żądań organów ścigania i innych uprawnionych instytucji państwowych. Takie wnioski są zazwyczaj przekazywane z wykorzystaniem zweryfikowanych adresów e-mail.
W przypadku Revoluta nie jest na razie jasne, w jaki sposób oszust zdołał wykorzystać domenę należącą do prawdziwej agencji rządowej. Firma nie ujawniła również, o którą instytucję chodziło.
Revolut obsługuje ponad 70 mln klientów w ponad 40 krajach. Według danych opublikowanych w maju wartość firmy wynosi około 75 mld dolarów. Na początku września spółka otrzymała warunkową zgodę na uzyskanie amerykańskiej licencji bankowej. Jest to jeden z etapów planów uruchomienia banku Revoluta w USA do 2027 roku.
