Revolut ujawnia paszporty klientów i transakcje Bitcoin w wyniku naruszenia spowodowanego fałszywym żądaniem rządowym
Revolut przekazał oszustom dane osobowe klientów po otrzymaniu fałszywego żądania podszywającego się pod agencję rządową. Ujawnione informacje obejmowały dokumenty tożsamości, adresy zamieszkania oraz pełną historię transakcji, w tym aktywność związaną z Bitcoinem.
Ten artykuł został przetłumaczony z oryginału. Przeczytaj oryginalną wersję przygotowaną przez naszego korespondenta tutaj.
Według CoinDesk żądanie zawierało dane uwierzytelniające, które przeszły wewnętrzne kontrole Revolut, co początkowo skłoniło firmę do uznania go za legalne. Oszustwo wykryto dopiero po tym, jak bank niezależnie skontaktował się z agencją rządową.
Revolut nie ujawnił, ilu klientów zostało dotkniętych incydentem. Firma podała, że środki klientów pozostały bezpieczne, zablokowała źródło żądania oraz powiadomiła poszkodowanych użytkowników i organy regulacyjne.
Oszuści zdobyli dokumenty i historię transakcji
Przekazane informacje mogły obejmować paszporty lub prawa jazdy, selfie weryfikacyjne, imiona i nazwiska, daty urodzenia oraz zawody klientów. Ujawniono również adresy domowe i e-mail, numery telefonów oraz numery IBAN.
Oszuści zdobyli również wyciągi bankowe, rejestry wypłat oraz pełną historię transakcji niektórych użytkowników. Obejmowały one transakcje Bitcoin.
Słabym punktem był proces autoryzacji żądania. Po przejściu wewnętrznych kontroli Revolut osoba podszywająca się pod urzędnika państwowego mogła uzyskać dostęp do danych, które firma gromadzi na potrzeby identyfikacji klientów i zgodności z wymogami regulacyjnymi.
Analityk on-chain ZachXBT, który zwrócił uwagę na incydent, stwierdził, że naruszenie miało prawdopodobnie ograniczony zakres. Według niego zamożni użytkownicy mogli zostać celowo wybrani na cel.
Połączenie danych osobowych z publicznie dostępnymi informacjami z blockchaina stwarza szczególne ryzyko. Historia transakcji Bitcoin jest publicznie widoczna on-chain, podczas gdy informacje przechowywane przez pośrednika finansowego mogą powiązać konkretną osobę, jej adres i inne dane osobowe z jej aktywnością on-chain.
Naruszenia danych zwiększają ryzyko dla posiadaczy kryptowalut
Incydent ma miejsce w czasie, gdy narzędzia AI ułatwiają tworzenie przekonujących e-maili, dokumentów i fałszywych żądań. Jednocześnie firmy finansowe przechowują duże ilości informacji o tożsamości swoich klientów i przepływie ich środków.
Producent sprzętowych portfeli kryptowalutowych Ledger wcześniej stanął w obliczu pozwu zbiorowego, w którym domagano się co najmniej 500 mln USD za naruszenia danych klientów. Powód twierdzi, że firma nie zapewniła odpowiedniej ochrony danych osobowych użytkowników i nie podjęła wystarczających działań po wcześniejszych incydentach.
Pozew ponownie zwrócił uwagę na ryzyko związane z przechowywaniem danych osobowych użytkowników usług kryptowalutowych. Takie dane mogą stanowić dodatkowe zagrożenie, jeśli umożliwiają powiązanie tożsamości danej osoby z jej aktywami cyfrowymi.
Wcześniej informowaliśmy, że Revolut ograniczył subskrybentom planów premium dostęp do przestrzeni roboczych WeWork po wzroście kosztów usługi. Zmiany dotknęły jednego z dodatkowych benefitów oferowanych w ramach płatnych planów firmy.