Revolut pod presją po wycieku i phishingu

Revolut potwierdza wyciek danych po fałszywych wnioskach

Revolut potwierdził incydent bezpieczeństwa, w którym nieuprawniona strona zdobyła dostęp do danych części klientów, wykorzystując fałszywe żądania informacji wysyłane z pozornie legalnego adresu domenowego instytucji rządowej. Firma opisała atak jako zaawansowane podszycie się pod podmiot zewnętrzny, które doprowadziło do ujawnienia wrażliwych informacji.

Według przekazanych informacji atakujący posłużyli się technicznie poprawnie wyglądającą autoryzacją domeny, a pracownicy Revoluta potraktowali wnioski jako standardową procedurę związaną z obowiązkami prawnymi. Spółka podkreśliła, że dotyczyło to bardzo ograniczonej grupy klientów, a same systemy firmy i środki klientów nie zostały naruszone.

Jakie dane mogły wyciec

Wśród ujawnionych informacji znalazły się między innymi:

• imiona i nazwiska,
• daty urodzenia,
• adresy zamieszkania,
• numery telefonów,
• adresy e-mail,
• dane o zawodzie,
• kopie dokumentów tożsamości, takich jak paszporty i prawa jazdy,
• selfie weryfikacyjne,
• numery IBAN,
• daty otwarcia kont,
• pełna historia transakcji i wypłat,
• numery referencyjne portfeli Bitcoin.

Taki zestaw danych oznacza znacznie więcej niż typowy wyciek kontaktowy. W praktyce daje przestępcom materiał do budowania bardzo wiarygodnych kampanii phishingowych, kradzieży tożsamości i prób przejęcia konta.

Atak zaczął się od podszycia pod urzędy

Z późniejszych ustaleń wynika, że incydent miał dotyczyć litewskiego podmiotu regulowanego przez Revoluta, który jest zobowiązany do reagowania na europejskie nakazy dochodzeniowe. Osoby stojące za atakiem miały podszywać się pod włoskie organy ścigania, wykorzystując przejęte konta e-mail włoskiego Ministerstwa Spraw Wewnętrznych. Dostęp do tych skrzynek pocztowych miał być utrzymywany przez około sześć miesięcy, co pozwoliło składać kolejne fałszywe wnioski bez wzbudzania podejrzeń.

W niektórych doniesieniach pojawia się także informacja, że przestępcy mogli wybierać zamożnych użytkowników kryptowalut, analizując dane zapisane w blockchainie. Jeśli to się potwierdzi, kampania była nie tylko ukierunkowana, ale też dobrze przygotowana pod kątem doboru ofiar.

Po wycieku ruszyła fala smishingu

Na tym jednak incydent się nie skończył. Wkrótce po ujawnieniu sprawy pojawiły się SMS-y phishingowe wysyłane do klientów Revoluta. W jednej z opisanych kampanii wiadomość trafiała do tego samego wątku na telefonie ofiary, w którym wcześniej znajdowały się autentyczne komunikaty z aplikacji, co miało zwiększać wiarygodność oszustwa.

Treść SMS-a nakłaniała do kliknięcia w link i rzekomego potwierdzenia tożsamości pod groźbą ograniczenia dostępu do konta. Po przejściu na stronę użytkownikowi wyświetlano prośbę o dostęp do kamery urządzenia. Po kliknięciu zgody miał się uruchamiać fałszywy proces weryfikacji wideo, a następnie pojawiał się ekran proszący o podanie hasła.

Taki schemat jest szczególnie groźny, bo łączy kilka technik naraz: podszycie się pod legalny serwis, wymuszenie pośpiechu oraz próbę zebrania selfie lub krótkiego nagrania, które można wykorzystać później do bardziej przekonujących ataków socjotechnicznych.

Co powinni zrobić użytkownicy

Eksperci zwracają uwagę, że osoby, których dane mogły zostać ujawnione, powinny zachować wyjątkową ostrożność wobec:

• niespodziewanych telefonów,
• e-maili,
• SMS-ów,
• komunikatów rzekomo od Revoluta, urzędu lub innej zaufanej instytucji.

Najważniejsze zalecenia są proste:

1. Nie klikać w linki z niezamówionych wiadomości.
2. Nie podawać haseł, kodów jednorazowych ani passcode’ów.
3. Logować się wyłącznie przez oficjalną aplikację lub zweryfikowaną stronę.
4. Włączyć MFA tam, gdzie to możliwe.
5. Używać unikalnych haseł dla różnych usług.
6. Monitorować rachunki i raporty kredytowe pod kątem nietypowej aktywności.
7. Zgłaszać podejrzenie kradzieży tożsamości bez zwłoki.

W przypadku Revoluta bezpieczeństwo systemów transakcyjnych nie zostało naruszone, ale sam wyciek danych osobowych i dokumentów może mieć długofalowe skutki dla klientów. To przypomnienie, że w finansach cyfrowych ochrona nie kończy się na saldzie konta — równie ważne są procedury weryfikacji i odporność na socjotechnikę.