Revolut раскрыл паспорта и данные о биткоинах после фейкового правительственного запроса: отчёт

Ончейн-исследователь ZachXBT сообщил сегодня ранее, что Revolut раскрыл крайне конфиденциальную личную и финансовую информацию некоторых клиентов после получения запроса, который выглядел как подлинный правительственный запрос.

Компания разослала письма пострадавшим пользователям, признав, что раскрытые данные включали паспорта, верификационные селфи, адреса и полную историю транзакций в биткоине.

Что было раскрыто

В письме, отправленном клиентам и обнародованном ZachXBT на его странице в Telegram, Revolut пояснил, что получил запрос на информацию, который, судя по всему, исходил от легитимного государственного ведомства. Отправитель не просто подделал адрес, выглядевший официально. Запрос пришёл с несанкционированного почтового аккаунта, использовавшего настоящий домен электронной почты государственного ведомства, и содержал действительные учётные данные аутентификации домена, добавила компания.

Revolut выполнил запрос, полагая, что он подлинный. Раскрытая информация потенциально включала полные имена некоторых клиентов, даты рождения, род занятий, домашние адреса, адреса электронной почты и номера телефонов. Более чувствительные материалы включали копии паспортов и/или водительских удостоверений, а также изображения селфи, предоставленные клиентами в процессе верификации. Хорошая новость, по словам компании, заключается в том, что сама биометрическая телеметрия лица не была скомпрометирована.

Тем не менее, фирма заявила, что предоставила финансовую информацию, включая выписки по счетам с IBAN, датами открытия счетов и номерами кошельков, а также записи о выводе средств и полную историю транзакций, включая транзакции в BTC.

Пока Revolut публично не назвал причастное государственное ведомство, а в уведомлении, отправленном клиентам, не указано, были ли доступны пароли, приватные ключи или их средства.

Против богатых?

Ончейн-сыщик охарактеризовал инцидент как “вероятно, ограниченный по масштабу”, поскольку, похоже, злоумышленники сосредоточились только на клиентах с высоким уровнем состояния. Однако это не было подтверждено ни независимо, ни самим Revolut. Кроме того, компания не раскрыла точное число пострадавших клиентов.

Судя по имеющейся на момент публикации информации, инцидент выглядит скорее как несанкционированное раскрытие данных, а не прямой взлом инфраструктуры Revolut. Сама компания предписывает государственным и правоохранительным органам направлять официальные запросы на информацию через выделенный канал.

Source: CryptoPotato