Ончейн-дослідник ZachXBT сьогодні раніше повідомив, що Revolut розкрив вкрай чутливу особисту та фінансову інформацію деяких клієнтів після отримання запиту, який виглядав як справжній урядовий запит.
Компанія розіслала листи постраждалим користувачам, визнавши, що розкриті дані включали паспорти, верифікаційні селфі, адреси та повну історію транзакцій у біткоїні.
Що було розкрито
У листі, надісланому клієнтам і оприлюдненому ZachXBT на його сторінці в Telegram, Revolut пояснив, що отримав запит на інформацію, який, судячи з усього, надійшов від легітимного державного відомства. Відправник не просто підробив адресу, що виглядала офіційно. Запит надійшов з несанкціонованого поштового акаунта, який використовував справжній домен електронної пошти державного відомства, і містив дійсні облікові дані автентифікації домену, додала компанія.
Revolut виконав запит, вважаючи його справжнім. Розкрита інформація потенційно включала повні імена деяких клієнтів, дати народження, рід занять, домашні адреси, адреси електронної пошти та номери телефонів. Більш чутливі матеріали включали копії паспортів та/або водійських посвідчень, а також зображення селфі, надані клієнтами під час процесу верифікації. Хороша новина, за словами компанії, полягає в тому, що сама біометрична телеметрія обличчя не була скомпрометована.
Тим не менш, фірма заявила, що надала фінансову інформацію, включно з виписками за рахунками з IBAN, датами відкриття рахунків і номерами гаманців, а також записами про виведення коштів і повну історію транзакцій, включно з транзакціями в BTC.
Наразі Revolut публічно не назвав причетне державне відомство, а в повідомленні, надісланому клієнтам, не вказано, чи були доступні паролі, приватні ключі або їхні кошти.
Проти багатих?
Ончейн-детектив охарактеризував інцидент як “ймовірно, обмежений за масштабом”, оскільки, схоже, зловмисники зосередилися лише на клієнтах із високим рівнем статків. Однак це не було підтверджено ні незалежно, ні самим Revolut. Крім того, компанія не розкрила точну кількість постраждалих клієнтів.
Судячи з наявної на момент публікації інформації, інцидент виглядає радше як несанкціоноване розкриття даних, а не прямий злом інфраструктури Revolut. Сама компанія приписує державним і правоохоронним органам подавати офіційні запити на інформацію через виділений канал.
Source: CryptoPotato
