Klienci Revolut w Irlandii ponownie znaleźli się wśród osób, których dane zostały objęte incydentem bezpieczeństwa.
Tym razem problem dotyczy jednak nie bezpośrednio systemów Revolut, lecz amerykańskiego brokera DriveWealth, który obsługiwał transakcje związane z amerykańskimi akcjami dla części klientów fintechu.
To już drugi odrębny incydent związany z danymi klientów Revolut w tym miesiącu. Firma zapewnia, że jej własne systemy nie zostały zaatakowane, a środki oraz inwestycje klientów pozostają bezpieczne. (TheJournal.ie)
Tym razem problem dotyczy zewnętrznego partnera
DriveWealth jest amerykańskim brokerem, który zapewniał Revolut usługi związane z realizacją i rozliczaniem transakcji na amerykańskim rynku akcji. W jego systemach przechowywane były informacje potrzebne między innymi do obsługi transakcji oraz spełnienia wymogów regulacyjnych.
Firma poinformowała o nieautoryzowanym dostępie do jej systemów. W wyniku incydentu część historycznych danych osobowych została skopiowana z infrastruktury DriveWealth. Według informacji przekazanych przez firmę nie doszło natomiast do ujawnienia haseł ani danych dotyczących płatności. (The Irish Times)
Incydent miał miejsce na początku września. DriveWealth ustalił, że nieautoryzowany dostęp do jego sieci nastąpił między 4 a 5 września 2026 roku. (The Irish Times)
Jakie dane mogły zostać ujawnione?
Zakres danych jest istotny, ponieważ nie chodzi wyłącznie o adres e-mail.
Według informacji przekazanych klientom potencjalnie ujawnione mogły zostać między innymi:
- imię i nazwisko,
- adres e-mail,
- numer telefonu,
- adres pocztowy,
- informacje dotyczące zatrudnienia,
- kraj obywatelstwa,
- wiek,
- płeć,
- częściowy numer konta DriveWealth.
Jednocześnie Revolut podkreśla, że nie ujawniono haseł, kodów dostępu, danych kart płatniczych ani dokumentów tożsamości. Firma zapewnia również, że środki klientów i ich inwestycje są bezpieczne. (TheJournal.ie)
Kogo w Irlandii dotyczy incydent?
Dla klientów Revolut w Irlandii ważna jest data, z której pochodzą dane.
Revolut wyjaśnił, że w Europejskim Obszarze Gospodarczym incydent dotyczy historycznych danych klientów z okresu sprzed zmiany modelu obsługi amerykańskiego handlu akcjami.
Zmiany zostały wprowadzone na poszczególnych rynkach między grudniem 2023 roku a czerwcem 2025 roku. Według Revolut po wprowadzeniu tych zmian dane osobowe klientów z EOG nie były już przekazywane do DriveWealth. (RTE)
Oznacza to, że nie jest to sytuacja, w której automatycznie zagrożeni są wszyscy obecni użytkownicy Revolut w Irlandii.
Jeżeli klient nie otrzymał bezpośredniej wiadomości od DriveWealth lub Revolut dotyczącej tego incydentu, według firmy jego dane nie są objęte tym konkretnym naruszeniem. (TheJournal.ie)
To już drugi problem Revolut we wrześniu
Nowy incydent pojawił się zaledwie kilka dni po wcześniejszym naruszeniu bezpieczeństwa, które dotyczyło bezpośrednio Revolut.
14 września firma poinformowała część klientów, że ich dane zostały przekazane nieuprawnionej osobie po tym, jak oszust wykorzystał adres e-mail należący do prawdziwej instytucji rządowej i przesłał fałszywe żądania informacji.
W tamtym przypadku zagrożone mogły być między innymi kopie paszportów i praw jazdy, daty urodzenia, adresy domowe, adresy e-mail oraz numery telefonów. Według wcześniejszych doniesień incydent miał dotyczyć około 680 klientów na świecie, w tym 12 osób w Irlandii. (TheJournal.ie)
Revolut podkreślał wówczas, że jego systemy oraz środki klientów nie zostały naruszone.
Revolut: pieniądze klientów są bezpieczne
W przypadku najnowszego incydentu firma wyraźnie rozdziela bezpieczeństwo systemów Revolut od systemów zewnętrznego dostawcy.
Revolut twierdzi, że jego własna infrastruktura nie została naruszona, a dane dotyczące haseł, kodów dostępu, kart i dokumentów tożsamości nie zostały ujawnione w tym incydencie.
Nie oznacza to jednak, że wyciek danych osobowych można całkowicie zignorować.
Informacje takie jak imię, nazwisko, numer telefonu, adres czy dane dotyczące zatrudnienia mogą zostać wykorzystane przez oszustów do tworzenia bardziej wiarygodnych prób wyłudzenia informacji lub pieniędzy.
Na co powinni uważać klienci Revolut?
Najważniejsza zasada jest prosta: nie należy przekazywać nikomu kodów dostępu, haseł ani pieniędzy w odpowiedzi na niespodziewaną wiadomość lub telefon.
Jeżeli klient otrzyma wiadomość informującą o naruszeniu jego danych, powinien dokładnie sprawdzić, czy pochodzi ona z oficjalnego kanału. Szczególną ostrożność należy zachować wobec telefonów i wiadomości osób podających się za pracowników banku, Revolut, policji czy innych instytucji.
W przypadku osób, które zostały bezpośrednio dotknięte pierwszym wrześniowym incydentem, eksperci ds. cyberbezpieczeństwa zalecali również sprawdzenie swojej sytuacji kredytowej oraz zachowanie szczególnej ostrożności wobec prób wykorzystania skradzionych danych. (TheJournal.ie)
Czy wszyscy użytkownicy Revolut powinni się martwić?
Nie.
Najważniejsze jest rozróżnienie pomiędzy dwoma różnymi incydentami oraz sprawdzenie, czy Revolut lub DriveWealth skontaktował się bezpośrednio z daną osobą.
Najnowszy przypadek dotyczy historycznych danych związanych z usługą amerykańskiego handlu akcjami i zewnętrznym partnerem Revolut. Firma zapewnia, że po zmianie modelu obsługi klienci z EOG nie przekazywali już swoich danych osobowych do DriveWealth. (RTE)
Dla milionów użytkowników Revolut w Irlandii najważniejszą informacją jest więc to, że nie każdy klient został objęty najnowszym incydentem. Osoby, których dane rzeczywiście znalazły się wśród dotkniętych naruszeniem, mają być kontaktowane bezpośrednio.
Źródła
The Journal, RTÉ, The Irish Times.
