Revolut с важни подробности за изтеклите данни на клиенти

Сериозен пробив в защитата на личните данни е засегнал клиенти на финансовата платформа Revolut. Компанията потвърди, че чувствителна информация е била предоставена на неупълномощена трета страна, след като служители са получили измамни заявки, изпратени от имейл домейн на легитимна държавна институция. По данни на Revolut случаят е засегнал „много ограничен“ брой клиенти, но точният им брой все още не е обявен.
Атаката не представлява традиционно проникване в информационните системи на Revolut. Измамниците са се възползвали от доверието към официалния държавен домейн, за да представят фалшивите си искания като автентични. Това е позволило на неупълномощена страна да получи достъп до определена клиентска информация. Компанията е установила случая, блокирала е използвания имейл адрес и е уведомила съответната държавна институция, правоохранителните органи, органите за защита на личните данни и финансовите регулатори.
Сред потенциално разкритите данни са рождени дати, пощенски и имейл адреси, телефонни номера, както и копия на документи за самоличност – включително паспорти и шофьорски книжки. Според допълнителни публикации информацията при някои засегнати клиенти може да е включвала и документи за сметки и данни за транзакции. Revolut не е посочила публично пълния обхват на информацията за всеки отделен клиент.
Компанията подчертава, че системите ѝ и средствата на клиентите не са били засегнати. Няма данни при инцидента да са били компрометирани пароли, ПИН кодове на карти или частни криптографски ключове, нито има потвърждение за директно източване на пари или превземане на клиентски профили. Revolut посочва, че засегнатите потребители са били уведомени, а предприетите действия целят да предотвратят повторение на подобен сценарий.
Случаят показва и друга важна слабост – дори когато даден имейл изглежда като изпратен от официален държавен домейн, това не гарантира, че зад него стои упълномощен служител. Според наличната информация именно доверието в легитимния домейн е било използвано като част от схемата за социално инженерство. Засега остават неизвестни точният брой на засегнатите лица, самоличността на държавната институция и пълните технически подробности около начина, по който са били изпратени фалшивите заявки.