Revolut předal údaje klientů na základě falešných úředních žádostí

Revolut potvrdil, že neoprávněné třetí straně předal údaje omezeného počtu klientů. Podvodné žádosti byly odeslány z legitimní e-mailové domény státního úřadu. Přesný počet dotčených lidí firma neuvedla.

Revolut nezveřejnil ani úplný seznam předaných údajů. Podle oznámení klientům, která zveřejnil analytik blockchainových transakcí vystupující jako ZachXBT, mohly být předány pasy nebo řidičské průkazy, ověřovací selfie a údaje KYC. Zkratka KYC označuje informace, které banka používá k ověření totožnosti klienta. Oznámení dále zmiňují jména, data narození, adresy, telefonní čísla, povolání, IBAN, bankovní výpisy, údaje o výběrech a úplnou historii transakcí včetně plateb v bitcoinu.

Firma uvedla, že její systémy ani peníze klientů nebyly zasaženy. Adresu odesílatele po odhalení incidentu zablokovala a informovala příslušný úřad, policii, úřad pro ochranu osobních údajů i finanční regulátory. Dotčené klienty podle svého vyjádření oslovila přímo. Který státní úřad byl zneužit a kdy k předání údajů došlo, nezveřejnila.

Lidé, kteří se k útoku přihlásili, zveřejnili na Telegramu ukázky údajů. Ty mají podle nich patřit mimo jiné ředitelům firem, sportovcům a umělcům. Za nezveřejnění dalších dat požadují 10 000 bitcoinů, tedy více než 782 milionů dolarů. Revolut se k požadavku na výkupné nevyjádřil.

Revolut obsluhuje přes 800 000 firem. Z dostupných informací však není zřejmé, zda incident zasáhl také firemní účty. Bez počtu dotčených účtů, data incidentu, seznamu zemí a úplného přehledu předaných údajů nelze jeho rozsah spolehlivě posoudit. Legitimní e-mailová doména sama o sobě nedokládá, že žádost odeslal oprávněný člověk. Při vydávání osobních údajů je proto nutné nezávisle ověřit původ a oprávněnost žádosti a vyžadovat její schválení.