Revolut собственноручно слил данные клиентов по фейковому запросу мошенников

Британский необанк Revolut подтвердил, что передал конфиденциальные данные части своих клиентов неизвестным злоумышленникам. Причиной стала изощрённая схема социальной инженерии: мошенники прислали запрос на информацию с почтового ящика, который действительно принадлежал государственному органу, поэтому письмо прошло все проверки подлинности домена.

Как сработала схема

По данным TechCrunch, которые издание получило из письма-уведомления, направленного пострадавшим клиентам, Revolut получил запрос, выглядевший как официальное обращение государственного учреждения. Компания назвала это «искусно замаскированной мошеннической схемой с подделкой личности», когда неавторизованная третья сторона воспользовалась легитимным доменом государственного органа для отправки поддельных запросов на информацию.

Представитель Revolut заявил, что после выявления мошенничества адрес электронной почты был заблокирован, а об инциденте сообщили в соответствующий государственный орган, правоохранительные органы и регулирующие органы. В компании подчеркнули, что «системы Revolut и средства клиентов не пострадали». Название госоргана, адрес которого использовали злоумышленники, а также страну или рынок, где произошел инцидент, Revolut не раскрыл.

Какие данные попали в руки мошенников

Список похищенной информации оказался довольно обширным. Речь идет о датах рождения, почтовых и электронных адресах, номерах телефонов, а также копиях паспортов и водительских удостоверений. По информации Decrypt, некоторым клиентам также были предоставлены выписки со счетами с номерами IBAN и криптокошельков, история вывода средств и полная история транзакций, включая переводы в биткойнах.

Revolut добавила, что биометрические данные для верификации личности (селфи) в данном случае не были раскрыты. Компания сообщила, что пострадало «ограниченное» количество клиентов, с которыми уже связались напрямую, однако точную цифру не назвала.

Реакция сообщества и более широкий контекст

Об утечке первым публично сообщил исследователь блокчейна ZachXBT, который опубликовал письмо Revolut, адресованное пострадавшим. По его наблюдениям, атака могла быть направлена именно на состоятельных пользователей криптовалют — это особенно тревожно на фоне роста числа так называемых «wrench attacks» — физических нападений на владельцев криптоактивов с целью вымогательства доступа к кошелькам. Один из пострадавших пользователей написал в социальной сети X:

Инцидент произошел не на пустом месте: в последние недели о подобных утечках сообщали и другие участники криптовалютного рынка. Производитель аппаратных кошельков Trezor недавно расширил масштаб утечки из-за одного из своих поставщиков поддержки, а платформа X, по сообщениям, также столкнулась с утечкой, из-за которой пользователей массово заставляли сбрасывать пароли.

Что это означает для Revolut

Утечка произошла в деликатный для компании момент. В этом же месяце американский регулятор Office of the Comptroller of the Currency дал Revolut условное разрешение на создание национального банка в США. Компания также рассматривает возможность проведения IPO с оценкой около 200 млрд долларов и недавно вышла на новые рынки, в частности в Индию, Мексику, Францию и ОАЭ. Revolut обслуживает более 80 миллионов клиентов в более чем 30 странах.

Аналитики издания Security Affairs отмечают, что инцидент обнажил системную проблему: преимущественное использование аутентификации по электронной почте позволяет злоумышленникам, которые получили доступ к домену госоргана, обходить проверки и получать конфиденциальные данные клиентов финтех-компаний. Это не первый подобный случай для Revolut — три года назад преступные группировки уже использовали уязвимость в платежной системе компании.

Источник: TechCrunch