Revolut підтвердив BeInCrypto, що когось справді вдалося обманом змусити компанію передати файли клієнтів, які, згідно з її власними повідомленнями, містили паспорти, селфі та записи про біткоїни. Компанія називає це витонченою атакою. А те, що вона описує, — це просто лист.

Повідомлення надійшло з реального поштового домену державного відомства. Воно несло справжні облікові дані домену. Revolut прийняв його як справжнє й надіслав файли.

Що, за словами Revolut, сталося

Представник Revolut повідомив BeInCrypto, що банк заблокував відправника, щойно помітив проблему.

“Нещодавно Revolut виявив витончену зовнішню атаку з використанням чужої особи, під час якої неавторизована третя сторона використала домен електронної пошти легітимного державного відомства для подання шахрайських запитів на інформацію… Системи Revolut і кошти клієнтів не постраждали.”

Підписуйтеся на нас у X, щоб отримувати останні новини в реальному часі

Компанія заявляє, що повідомила відомство, поліцію, а також регуляторів із захисту даних і фінансових ринків. Вона також зв'язалася з тим, що називає «обмеженою кількістю» постраждалих людей.

Що залишилося поза межами заяви

Revolut стверджує, що акаунти залишаються в безпеці. Це правда, і в цьому не проблема.

Паролі, облікові дані для входу та біометричні дані ніколи не були розкриті, повідомив банк BeInCrypto. Гроші нікуди не переміщувалися.

Повідомлення, надіслані клієнтам, формулюють це інакше. У них ідеться, що верифікаційне селфі було розкрито, і виключається лише біометрична лицьова телеметрія, тобто шаблон обличчя, який система будує на основі фотографії. Сама фотографія — це вже інше питання.

У цих повідомленнях перераховано решту. Паспорти. Водійські посвідчення. Домашні адреси. Банківські виписки. Повна історія руху біткоїнів — як надходжень, так і списань.

Пароль можна змінити за хвилину. Паспорт — ні.

Revolut не розкриває, домен якого відомства було використано, посилаючись на триваюче поліцейське розслідування. Тому ніхто поза межами компанії не знає, чи був зламаний державний поштовий обліковий запис, чи хтось, уже перебуваючи всередині, сам натиснув «надіслати».

Блокчейн-розслідувач ZachXBT, який заробляє на життя відстеженням викраденої криптовалюти, звернув увагу на цей витік, зазначивши, що він торкнувся невеликої групи користувачів і, судячи з усього, був націлений на заможних клієнтів.

Викрадені списки клієнтів вже ставали причиною зростання фішингових атак після подібних витоків. Витоки домашніх адрес і раніше передували фізичним нападам на власників криптовалюти.

Слово «витончена» можна прочитати й інакше. За власним визнанням Revolut, зловмисник просто написав лист і почекав. Хитра частина відбулася всередині державної поштової системи. А дорога — всередині самого Revolut.

Source: BeInCrypto