Revolut підтвердив, що шахраї обманом змусили платформу передати дані клієнтів, включно з інформацією, яка, за словами самої компанії у її повідомленнях, охоплювала паспорти, верифікаційні селфі та записи про транзакції з біткоїном.

Запит надійшов з домену електронної пошти справжнього державного відомства і містив дійсні облікові дані. Revolut вважав його справжнім і передав дані.

Що, за словами Revolut, сталося

Представник Revolut повідомив BeInCrypto, що банк заблокував відправника, щойно помітив проблему.

“Нещодавно Revolut виявив складну зовнішню атаку з видаванням себе за іншу особу, під час якої неавторизована третя сторона використала електронну пошту з легітимного домену державного відомства для надсилання шахрайських запитів на отримання інформації… Системи Revolut і кошти клієнтів не постраждали.”

Компанія повідомляє, що сповістила відомство, поліцію, а також регуляторів із захисту даних і фінансового регулювання. Вона зв'язалася з тим обмеженим колом людей, яких, за її словами, це торкнулося.

Чи безпечні акаунти Revolut?

Revolut стверджує, що акаунти залишаються в безпеці. Це правда. Паролі, дані для входу та біометричні дані ніколи не були розкриті, повідомив банк BeInCrypto. Гроші нікуди не переміщувалися.

Повідомлення, надіслані клієнтам, формулюють це інакше. У них йдеться, що верифікаційне селфі було передане, і виключається лише біометрична телеметрія обличчя, тобто шаблон обличчя, який система будує на основі фотографії. Сама фотографія — це вже інше питання.

У цих повідомленнях перелічено решту. Паспорти, водійські посвідчення, домашні адреси, банківські виписки. Повна історія надходжень і списань біткоїна.

Revolut не повідомляє, домен якого саме відомства було використано, посилаючись на триваюче поліцейське розслідування. Тому ніхто поза компанією не знає, чи була зламана державна поштова скринька, чи хтось, хто вже мав до неї доступ, сам натиснув «надіслати».

Блокчейн-дослідник ZachXBT, який професійно відстежує викрадену криптовалюту, звернув увагу на витік, зазначивши, що він торкнувся невеликої групи користувачів і, судячи з усього, був спрямований на заможних клієнтів.

Викрадені списки клієнтів після витоків підживлювали ризик фішингу. Витік домашніх адрес і раніше передував нападам на власників криптовалюти.

Revolut назвав це складною атакою. Але, за власним визнанням компанії, зловмисник використав легітимну державну систему електронної пошти для надсилання шахрайського запиту. Revolut прийняв цей запит як справжній і передав дані.

Source: BeInCrypto