Финтех-сервис Revolut подтвердил утечку конфиденциальных данных части клиентов после того, как злоумышленники направили компании поддельные официальные запросы. Особенность инцидента заключалась в том, что сообщения поступали с настоящего почтового домена государственного ведомства, поэтому их первоначально приняли за легитимные обращения властей.
В результате третьей стороне была передана персональная информация некоторых пользователей. По имеющимся данным, среди раскрытых сведений могли находиться даты рождения, почтовые и электронные адреса, номера телефонов, а также копии документов, удостоверяющих личность, включая паспорта и водительские удостоверения.
Revolut подчеркивает, что инцидент затронул очень ограниченное число клиентов. Точное количество пострадавших компания не раскрывает, однако утверждает, что уже уведомила всех пользователей, чьи данные могли быть переданы злоумышленникам. Внутренние банковские системы при этом скомпрометированы не были.
Компания отдельно заявила, что денежные средства клиентов не пострадали. Инцидент был связан не со взломом инфраструктуры Revolut, а с использованием механизма официальных запросов на раскрытие информации. Злоумышленники фактически убедили сотрудников в том, что действуют от имени настоящего государственного ведомства.
После обнаружения проблемы Revolut заблокировал адрес, с которого поступали подозрительные запросы. Компания также уведомила соответствующее государственное учреждение, правоохранительные органы, регуляторов по защите данных и финансовые надзорные ведомства.
Случай показывает отдельный тип угрозы для банков и технологических компаний. Даже если корпоративные системы надежно защищены от прямого взлома, злоумышленники могут попытаться получить информацию через процедуры взаимодействия с государственными структурами, используя скомпрометированные учетные записи или подделывая служебные запросы.
Особенно серьезными последствия могут быть в случаях, когда в ответ на такие обращения передаются копии паспортов и другие документы. Подобные данные потенциально могут использоваться для дальнейшего мошенничества, социальной инженерии, подделки личности или попыток получить доступ к другим финансовым и цифровым сервисам.
Инцидент произошел в период, когда Revolut продолжает активно расширять международный бизнес и рассматривает возможность выхода на биржу. Компания относится к крупнейшим европейским финтех-сервисам и работает полностью в цифровом формате, без традиционной сети банковских отделений.
Ситуация может заставить Revolut и другие финансовые компании дополнительно пересмотреть процедуры проверки государственных запросов. Одной проверки домена электронной почты уже недостаточно, если злоумышленник способен получить доступ к легитимной государственной инфраструктуре. Для передачи особенно чувствительных данных могут потребоваться дополнительные независимые способы подтверждения личности отправителя и подлинности запроса.