Wyciek danych Revoluta: jakie informacje wpadły w ręce oszusta

Pracownicy fintech’owego serwisu Revoluta padli ofiarą zaawansowanego ataku socjotechnicznego, w wyniku którego doszło do wycieku danych osobowych części klientów. Oszust, podszywając się pod pracownika instytucji rządowej i wykorzystując jej autentyczny adres e-mail, uzyskał dostęp do wrażliwych informacji przechowywanych w systemach firmy.

Jak doszło do wycieku?

Atak przeprowadzony został za pomocą techniki socjotechnicznej, czyli manipulacji psychologicznej skierowanej na pracowników. Oszust posłużył się fałszywą tożsamością pracownika agencji rządowej, co nadało jego żądaniom pozór legalności i pilności. Wykorzystanie rzeczywistego adresu e-mail należącego do prawdziwej instytucji rządowej znacznie zwiększyło wiarygodność oszusta w oczach pracowników Revoluta, którzy mogą nie mieć wystarczających procedur weryfikacyjnych dla tego typu żądań.

Po odkryciu incydentu firma niezwłocznie zablokował stronę, którą posłużył się atakujący do przeprowadzenia ataku.

Jakie dokładnie dane wyciekły?

Zakres wycieku obejmuje szereg wrażliwych informacji dotyczących tożsamości i finansów poszkodzonych klientów:

Kategoria danych	Szczegóły
Dane osobowe	Imiona, nazwiska, daty urodzenia, zawody
Dane kontaktowe	Numery telefonów, adresy zamieszkania, adresy korespondencyjne
Dokumenty tożsamości	Kopie paszportów, prawa jazdy, zdjęcia weryfikacyjne
Dane finansowe	Numery IBAN, statusy kont, wyciągi z rachunków
Historia operacji	Pełne zestawienie transakcji, w tym operacje w kryptowalutach
Metadane kont	Daty otwarcia rachunków, numery referencyjne portfeli

Wyciek objął ograniczoną liczbę klientów, jednak dokładna liczba poszkodzonych osób nie została ujawniona. Dla kontekstu: Revolut obsługuje około 70 milionów klientów rozsianych w 40 krajach, co oznacza, że incydent dotknął jedynie małą część bazy użytkowników.

Czy zagrożone są pieniądze klientów?

Kluczowe jest to, że samo środki finansowe przechowywane na kontach Revoluta nie zostały naruszone. Oszust nie uzyskał dostępu do systemów płatniczych ani nie mógł wykonać transferów. Podobnie systemy bezpieczeństwa firmy pozostały nienaruszone. Oznacza to, że poszkodzeni klienci nie stracili pieniędzy w wyniku tego incydentu — zagrożenie dotyczy przede wszystkim ich prywatności i potencjalnego wykorzystania danych osobowych.

Jak Revolut reaguje na incydent?

Firma podjęła szereg działań mających na celu zawiadomienie zainteresowanych stron i minimalizację skutków:

• Powiadomiono organy ścigania zajmujące się cyberprzestępczością
• Poinformowano regulatorów finansowych nadzorujących działalność firmy
• Zawiadomiono komisje i urzędy odpowiedzialne za ochronę danych osobowych
• Poszkodzeni klienci będą otrzymywać wsparcie dodatkowe ze strony Revoluta

Firma nie ujawniła, pod jaką konkretnie agencję rządową podszył się oszust — informacja ta mogłaby potencjalnie ułatwić dalsze ataki tego typu.

Co to oznacza dla poszkodzonych klientów?

Wyciek danych osobowych stanowi poważne zagrożenie dla bezpieczeństwa tożsamości poszkodzonych osób. Dysponując pełnym zestawem informacji — od dokumentów tożsamości przez dane finansowe aż po historię transakcji — oszust lub inne osoby, które uzyskają dostęp do tych danych, mogą:

• Otworzyć nowe konta bankowe lub usługi finansowe na cudzą nazwę
• Dokonać oszustw tożsamościowych
• Ukierunkować dalsze ataki socjotechniczne, dysponując szczegółową wiedzą o finansach ofiary
• Sprzedać dane na podziemnych rynkach cyfrowych

Dlatego poszkodzeni klienci powinni być szczególnie czujni wobec wszelkich niespodziewanych wiadomości, połączeń lub żądań danych osobowych, nawet jeśli wydają się pochodzić z wiarygodnych źródeł.

Lekcja dla sektora fintech

Incydent Revoluta ilustruje, że nawet duże, dobrze zabezpieczone platformy finansowe mogą paść ofiarą zaawansowanych ataków socjotechnicznych. Oszuści nie zawsze atakują bezpośrednio systemy techniczne — zamiast tego manipulują pracownikami, którzy mają dostęp do wrażliwych danych. To wskazuje na konieczność wzmacniania procedur weryfikacyjnych dla wewnętrznych żądań dostępu do danych klientów, niezależnie od tego, jak wiarygodnie wyglądają.

Dla użytkowników usług fintech’owych lekcja jest prosta: żadna instytucja, nawet rządowa, nie powinna prosić o pełne dane osobowe, dokumenty tożsamości czy numery IBAN drogą e-mail czy telefon. Jeśli pojawia się takie żądanie, zawsze warto skontaktować się bezpośrednio z instytucją, aby potwierdzić autentyczność prośby.