Revolut řeší v září už druhý bezpečnostní incident, při kterém se citlivé údaje klientů dostaly ven. Nejdřív firma přiznala, že podlehla phishingovému útoku, po kterém nyní čelí vydírání. Krátce nato začala rozesílat zprávy o dalším úniku dat jejich klientů. Nyní skrze zprostředkovatele jejich burzovní aktivity u amerického brokera DriveWealth.
První únik dat
Podvodník použil e-mailovou adresu z legitimní domény vládního úřadu a požádal Revolut o informace o klientech a ten mu je následně vydal. Podle oznámení pro dotčené zákazníky šlo o datum narození, adresy, telefonní čísla a kopie pasů či řidičských průkazů. Mohly unikat také ověřovací selfie, výpisy z účtů a historie transakcí.
Revolut tvrdí, že jde o omezený počet klientů, přesné číslo ale neuvedl, stejně jako dotčený úřad nebo trh. Firma odesílatele zablokovala a informovala úřad, policii i regulátory.
Druhý zářijový únik dat
Druhý incident se týká DriveWealth, přes kterého Revolut vyřizoval obchody s americkými akciemi. Útok proběhl mezi 4. a 5. zářím. Tedy ještě před tím, než Revolut sám podlehl phishingovému útoku o pár dní později před 12. zářím. Broker DriveWealth potvrdil neoprávněný přístup k osobním údajům před rokem 2023 u klientů, kteří investovali do akcií.
Zdroj: DriveWealth
Mohlo jít o jméno, e-mail, telefon, adresu, zaměstnání, zemi občanství, věk, pohlaví a část čísla účtu. Hesla ani platební údaje podle DriveWealth zasažena nejsou. Revolut tvrdí, že jeho systémy napadeny nebyly, prostředky klientů jsou v bezpečí a k účtu se nelze dostat jen s uniklými údaji. Od prosince 2023 navíc data klientů z EHP brokerovi nepředává, takže se incident může týkat jen informací z doby před tímto datem.
Pokud uživatelům Revolutu tento e-mail též přišel, tak se nedozví, jaké konkrétní jejich údaje byly odhaleny. Jedinou možností, jak to zjistit, je napsat přímo na DriveWealth drivewealth@transunion.com.
Pochybil Revolut i zprostředkovatel
Rozdíl mezi oběma případy je důležitý. V prvním selhal lidský faktor přímo u Revolutu, ve druhém šlo o partnera, který stará data uchovával kvůli zákonným povinnostem. Klienta ale obvykle zajímá hlavně to, že jeho údaje jsou venku.
I bez hesel a čísel karet jde o nebezpečná data. Umožňují vytvořit přesvědčivý phishing a u kopií dokladů také zneužití identity. Ani jedna firma nikdy nepožádá o heslo, kód ani údaje o kartě a nikdy nebude chtít převod peněz na bezpečný účet. Podezřelé zprávy je vhodné nahlásit v aplikaci Revolut nebo na support@revolut.com nebo accountsecurity@drivewealth.
Zdroje: reddit.com, legal.drivewealth.com, techcrunch.com, onebullex.com