Compania britanică Revolut a fost victima unui incident de securitate prin care date extrem de sensibile ale unor utilizatori au fost expuse. Această breșă a avut loc după ce echipa companiei a răspuns unui e-mail fraudulos care imita o solicitare oficială, venită de la o agenție guvernamentală. Atacatorii au reușit să păcălească sistemele de verificare prin utilizarea unei adrese de e-mail înregistrate sub domeniul unei instituții oficiale, făcând cererea să pară legitimă.
Informațiile extrase includ nume complete, date de naștere, adrese de e-mail, numere de telefon și ocupații. Mai mult, au fost expuse copii ale documentelor de identitate, precum pașapoarte sau permise de conducere, alături de imaginile utilizate pentru verificarea facială în procesul de onboarding. Deși Revolut a declarat că datele biometrice propriu-zise nu au fost compromise, pierderea documentelor scanate și a fotografiilor de verificare reprezintă un risc major de furt de identitate.
Pe partea financiară, atacatorii au accesat extrase de cont care conțin IBAN-uri, statusul conturilor și datele de deschidere ale acestora. Informațiile includ de asemenea referințe de portofel, istorice de retrageri și tranzacții complete. Expunerea datelor privind activitatea în Bitcoin este considerată critică, deoarece permite identificarea profilului financiar al victimelor pentru a pregăti tentative de fraudă țintite, o metodă sofisticată de manipulare a utilizatorilor.
Compania a subliniat că incidentul nu a reprezentat o compromitere a sistemelor interne, a aplicației sau a conturilor, ci a fost un atac de tip social engineering. Revolut a blocat rapid sursa e-mailului fraudulos și a notificat autoritățile și clienții afectați. Compania a asigurat utilizatorii că fondurile acestora nu au fost în pericol în urma acestui eveniment de tip phishing sofisticat care a vizat datele de identificare.
Investigatorul on-chain ZachXBT și alți membri ai comunității cripto au semnalat că operațiunea ar fi vizat în special utilizatorii cu un patrimoniu ridicat. Acești utilizatori sunt expuși unor riscuri suplimentare, precum extorcare, SIM swapping sau phishing avansat. Această situație reaprinde dezbaterile privind vulnerabilitățile create de colectarea obligatorie a datelor KYC în sectoarele fintech și crypto, unde procedurile de verificare a identității sunt standard de industrie.
Colectarea datelor de tip KYC (Know Your Customer) este o procedură obligatorie în sectorul financiar internațional pentru verificarea identității clienților. Această practică este esențială pentru combaterea spălării banilor și a fraudelor, însă, în cazul unui atac sofisticat, ea poate deveni un punct vulnerabil. În cazul Revolut, procesul de colectare a documentelor de identitate și a imaginilor de verificare a facilitat accesul hackerilor la informații de profil de înaltă sensibilitate.