Użytkownicy Revolut w Irlandii powinni zachować szczególną ostrożność. Firma potwierdziła naruszenie bezpieczeństwa danych, do którego doszło po tym, jak oszuści wykorzystali prawdziwy adres e-mail należący do instytucji rządowej.
Według najnowszych informacji około 680 klientów zostało powiadomionych o możliwym ujawnieniu ich danych. Wśród zagrożonych informacji mogły znaleźć się m.in. dane dokumentów tożsamości, adresy, numery telefonów, zdjęcia weryfikacyjne, informacje o rachunkach oraz historia transakcji.
Revolut ofiarą coraz bardziej wyrafinowanego oszustwa
Revolut potwierdził, że padł ofiarą tzw. impersonation scam, czyli oszustwa polegającego na podszywaniu się pod wiarygodną instytucję.
Mechanizm jest szczególnie niepokojący, ponieważ cyberprzestępcy nie musieli włamywać się bezpośrednio do systemów Revolut. Zamiast tego wykorzystali prawdziwy adres e-mail należący do instytucji rządowej i za jego pomocą wysłali fałszywe żądania dotyczące informacji o klientach.
Pracownicy firmy uznali wiadomość za autentyczną i przekazali część żądanych danych.
Revolut określił zdarzenie jako „wyrafinowane zewnętrzne oszustwo polegające na podszywaniu się”.
Firma twierdzi, że po wykryciu problemu natychmiast zablokowała wykorzystywany adres oraz poinformowała odpowiednie organy, w tym regulatorów zajmujących się ochroną danych i sektorem finansowym.
Jakie dane mogły zostać ujawnione?
To właśnie ten element sprawy budzi największe obawy.
Według informacji dotyczących incydentu wśród danych przekazanych nieuprawnionej osobie znalazły się dane identyfikacyjne i kontaktowe klientów.
Mogły obejmować między innymi:
- imię i nazwisko,
- datę urodzenia,
- adres zamieszkania,
- adres e-mail,
- numer telefonu,
- dane dokumentów tożsamości,
- zdjęcia wykorzystywane podczas weryfikacji,
- informacje dotyczące rachunków,
- historię transakcji.
W przypadku części klientów mogły zostać również udostępnione informacje związane z aktywnością finansową.
To szczególnie istotne, ponieważ kombinacja danych osobowych może zostać wykorzystana do kolejnych oszustw.
Cyberprzestępca posiadający imię, nazwisko, adres, numer telefonu i informacje o dokumencie tożsamości może próbować przekonać ofiarę, że kontaktuje się z bankiem, policją, urzędem albo inną instytucją.
Ilu klientów w Irlandii korzysta z Revolut?
Problem jest szczególnie istotny dla mieszkańców Irlandii.
Revolut jest jednym z najpopularniejszych cyfrowych dostawców usług finansowych na irlandzkim rynku. Według informacji cytowanych przez „The Irish Times” firma ma około 3,4 mln klientów w Irlandii.
Globalnie Revolut obsługuje ponad 80 mln klientów.
Oznacza to, że nawet stosunkowo niewielki procent poszkodowanych może oznaczać dużą liczbę osób.
Według informacji „Financial Times” firma skontaktowała się z 680 osobami, które mogły zostać dotknięte incydentem. Dziennik podał również, że osoby stojące za atakiem miały grozić ujawnieniem skradzionych informacji, jeśli Revolut nie zapłaci okupu.
Czy pieniądze klientów są bezpieczne?
Revolut podkreśla, że systemy finansowe oraz środki klientów nie zostały naruszone.
To ważne rozróżnienie.
Nie chodzi o włamanie, podczas którego ktoś uzyskał bezpośredni dostęp do rachunków bankowych i zaczął przelewać pieniądze.
Problem dotyczy przede wszystkim danych osobowych i informacji przekazanych w wyniku fałszywego żądania.
Nie oznacza to jednak, że klienci mogą całkowicie zignorować sprawę.
Skradzione dane mogą zostać wykorzystane w kolejnych etapach ataku.
Dlaczego takie oszustwa są coraz bardziej niebezpieczne?
Tradycyjne oszustwo często można rozpoznać po błędach językowych, podejrzanym adresie e-mail czy dziwnym numerze telefonu.
Nowoczesne ataki są znacznie bardziej wyrafinowane.
Przestępcy mogą wykorzystywać prawdziwe domeny, prawdziwe dane pracowników i dokumenty wyglądające jak oficjalna korespondencja.
W tym przypadku szczególnie niebezpieczny był fakt, że oszuści wykorzystali legalny adres instytucji rządowej.
To pokazuje, że sama obecność wiarygodnej domeny w wiadomości nie musi już wystarczyć, aby potwierdzić jej autentyczność.
Co powinni zrobić klienci Revolut?
Jeżeli Revolut skontaktuje się z klientem i poinformuje go o objęciu incydentem, wiadomości nie należy ignorować.
Warto również zachować szczególną ostrożność wobec telefonów, SMS-ów i e-maili, w których ktoś będzie znał nasze podstawowe dane.
Jeżeli oszust wie, jak mamy na imię, gdzie mieszkamy, z jakiego banku korzystamy lub nawet jaki dokument posiadamy, jego telefon może brzmieć znacznie bardziej wiarygodnie.
Nigdy nie należy przekazywać kodów autoryzacyjnych, haseł ani danych logowania osobie kontaktującej się telefonicznie.
Revolut pod presją
Incydent jest również problemem reputacyjnym dla Revolut.
Firma rozwija się bardzo szybko i stała się jednym z największych fintechów w Europie. W Irlandii posiada miliony klientów i coraz mocniej konkuruje z tradycyjnymi bankami.
Im większa skala działalności, tym większe znaczenie ma bezpieczeństwo danych.
Sprawa pokazuje również, że ochrona informacji nie polega wyłącznie na zabezpieczeniu serwerów.
Nawet bardzo dobrze chroniony system może zostać narażony, jeśli pracownik zostanie przekonany, że otrzymał prawdziwe polecenie od państwowej instytucji.
Co dalej?
Revolut poinformował, że incydent został zgłoszony odpowiednim organom.
W Wielkiej Brytanii sprawą zainteresował się również Information Commissioner’s Office.
Dla klientów w Irlandii najważniejsze jest teraz ustalenie, czy ich dane znalazły się wśród informacji przekazanych osobom nieuprawnionym.
To kolejny sygnał ostrzegawczy dla milionów użytkowników cyfrowych usług finansowych: bezpieczeństwo konta to dziś nie tylko silne hasło i aplikacja bankowa, ale również ochrona własnej tożsamości i danych osobowych.
