Британская финтех-компания Revolut подтвердила утечку данных своих клиентов. Причем данные пользователей злоумышленникам передали сами специалисты Revolut. Атакующие присылали компании по электронной почте поддельные запросы от имени неназванной госструктуры. Так как письма приходили с адреса в реальном почтовом домене ведомства, сотрудники Revolut приняли их за настоящие и раскрыли запрошенную информацию.
В распоряжении издания TechCrunch оказалось уведомление, которое представители Revolut разослали пострадавшим. В документе сказано, что среди раскрытых данных были даты рождения, почтовые и email-адреса, номера телефонов, информация о роде занятий, а также копии удостоверений личности, включая паспорта и водительские удостоверения. Кроме того, злоумышленники могли получить селфи, сделанные жертвами для верификации личности, выписки с их счетов, номера IBAN и историю транзакций (включая криптовалютные).
В Revolut заявили изданию, что инцидент затронул «ограниченное» число клиентов и со всеми пострадавшими уже связались напрямую. Однако точное количество жертв в компании не назвали. Также неизвестно, ограничилась ли произошедшая утечка клиентами только из какой-то одной страны, и за представителей какого именно государственного ведомства выдали себя злоумышленники.
«Недавно в Revolut выявили сложную мошенническую схему, в рамках которой неавторизованная третья сторона использовала легитимный почтовый домен государственного ведомства для отправки поддельных запросов на предоставление информации», — сообщил представитель компании.
После обнаружения атаки специалисты Revolut заблокировали использованный злоумышленниками email-адрес и уведомили об инциденте соответствующее ведомство, правоохранительные органы и финансовых регуляторов. В компании подчеркивают, что внутренние системы Revolut не пострадали, а средства клиентов остаются в безопасности.
На случившееся обратил внимание известный блокчейн-аналитик и ИБ-исследователь ZachXBT. Он опубликовал предупреждение, которое в Revolut разослали пострадавшим клиентам, и предположил, что атакующие целенаправленно стремились получить данные состоятельных пользователей сервиса.
В настоящее время Revolut обслуживает более 80 млн клиентов по всему миру и имеет банковские лицензии более чем в 30 странах. В последние месяцы компания расширяет присутствие в Индии, Мексике, Франции и ОАЭ. В начале сентября Управление контролера денежного обращения США (OCC) предварительно одобрило заявку Revolut на создание банка с федеральной лицензией в США, запустить который планируется в первой половине 2027 года.
