Цифровая банковская платформа Revolut столкнулась с серьезным инцидентом безопасности, в результате которого конфиденциальные данные клиентов оказались в руках злоумышленников. Компания официально подтвердила, что стала жертвой «сложной схемы внешней имитации», когда хакеры использовали электронную почту с легитимного домена государственного ведомства для отправки фальшивых запросов на получение информации.
Детали инцидента и объем скомпрометированных данных
Согласно информации, предоставленной Revolut изданию TechCrunch, атакующие успешно имитировали представителей государственных органов, таких как налоговая служба или правоохранительные структуры, которые обладают законными полномочиями запрашивать данные у финансовых организаций. В ответ на эти запросы сотрудники Revolut передали чувствительные сведения о клиентах.
По данным портала Cybernews, в список скомпрометированной информации попали:
- Даты рождения, почтовые адреса и адреса электронной почты;
- Номера телефонов и сведения о роде деятельности;
- Копии документов, удостоверяющих личность;
- Селфи для прохождения верификации;
- Выписки по счетам и полная история транзакций;
- Международные номера банковских счетов (IBAN);
- Записи о снятии средств и транзакции с использованием Bitcoin.
В компании Revolut заявили, что как только факт мошенничества был обнаружен, они немедленно заблокировали скомпрометированный адрес, уведомили затронутое государственное ведомство, правоохранительные органы, а также регуляторов в области финансов и защиты данных. Точное количество пострадавших пока не раскрывается, однако представитель организации подчеркнул, что это «ограниченное число» лиц, и все они уже были проинформированы о случившемся.
Требования выкупа и оценка экспертов
Ситуация осложнилась тем, что хакеры начали публиковать часть украденных данных в мессенджере Telegram. По сообщениям Coin Bureau, злоумышленники стремятся оказать давление на Revolut, требуя выкуп в размере 10 000 BTC, что в текущем эквиваленте составляет около 780 миллионов долларов. В качестве доказательства своих намерений преступники продемонстрировали документы, принадлежащие руководителю сайта криптовалютного казино.
Мухаммад Яхья Пател, vCISO и консультант по кибербезопасности компании Huntress, охарактеризовал произошедшее как крайне опасный инцидент. По его словам, полученный хакерами набор данных фактически представляет собой «полный комплект для кражи личности». Наличие паспортов, прав, селфи для верификации и истории транзакций позволяет злоумышленникам открывать счета от чужого имени или обходить проверки в других финансовых учреждениях.
Эксперт выразил недоумение по поводу того, как регулируемая финансовая организация с такими высокими стандартами цифровой идентификации допустила подобную ошибку. Пател отметил, что для компании, работающей в сфере финтеха, механизмы проверки сторонних запросов должны быть максимально строгими, чтобы исключить возможность попадания в подобные ловушки.
Уязвимость протоколов проверки и риски для клиентов
Эксперты подчеркивают, что масштаб проблемы выходит далеко за рамки обычного уведомления об утечке данных. Мухаммад Яхья Пател из Huntress акцентирует внимание на том, что на черном рынке подобные профили не продаются как разрозненные записи. Они распространяются в виде «готовых пакетов для мошенничества» (ready-made fraud packs) и обладают значительной премиальной стоимостью именно из-за своей полноты и детализации.
Для Revolut, чья бизнес-модель целиком построена на цифровой идентификации личности, данный инцидент стал серьезным ударом по репутации. Главный вопрос, который задают специалисты индустрии, заключается в том, почему финансовый институт, оперирующий настолько чувствительной информацией, не обладал достаточно строгими контрольными механизмами, способными распознать подвох в запросе от «государственного» ведомства. В условиях цифрового банкинга планка верификации сторонних запросов должна быть исключительно высокой, однако в данном случае хакеры воспользовались пробелом в процедурах безопасности, которые, как предполагалось, были защищены от внешней имитации.
Последствия утечки
Хотя в Revolut настаивают на «весьма ограниченном» количестве пострадавших, утечка таких данных, как записи о транзакциях с криптовалютой и селфи для KYC (Know Your Customer), создает уникальные риски. Подобные сведения позволяют не только совершать транзакции от имени жертвы, но и успешно преодолевать многоуровневые системы безопасности в других банках и финтех-сервисах. Ситуация с публикацией конфиденциальной информации в Telegram свидетельствует о том, что злоумышленники перешли к тактике прямого шантажа, пытаясь использовать украденные активы для давления на руководство платформы. Несмотря на абсурдность требований в 10 000 BTC, сам факт публикации «полного пакета KYC» одного из клиентов — руководителя крипто-казино — является демонстрацией серьезности намерений атакующих и глубины компрометации клиентской базы.
