Revolut раскрыл данные клиентов из-за поддельных запросов от госорганов

Как злоумышленникам удалось получить данные

В отличие от классической утечки, в этой ситуации злоумышленники не получили прямого доступа к базе данных Revolut. Они воспользовались доверием, которое финансовые организации оказывают официальным запросам от государственных и правоохранительных органов.

По данным самой компании, неавторизованная сторона использовала адрес электронной почты на легитимном домене государственного ведомства и от его имени направляла запросы на предоставление информации о клиентах.

Для сотрудников Revolut такие обращения выглядели настоящими. В результате компания выполнила запросы, полагая, что передаёт сведения уполномоченному государственному органу. Лишь позднее выяснилось, что данные получила посторонняя сторона.

Revolut не объяснил публично, каким именно образом злоумышленники получили возможность отправлять письма с государственного домена. Поэтому пока неизвестно, был ли скомпрометирован существующий почтовый ящик, создан неавторизованный аккаунт внутри инфраструктуры ведомства или использовалась другая схема.

Сам факт использования настоящего государственного домена существенно усложнял обнаружение мошенничества: обычная проверка адреса отправителя в таком случае могла не показать ничего подозрительного.

Какие данные оказались раскрыты

Состав переданной информации отличался в зависимости от клиента. Согласно уведомлениям Revolut, среди раскрытых данных могли находиться имена, даты рождения, номера телефонов, почтовые и электронные адреса, а также копии документов, использовавшихся для подтверждения личности.

В отдельных случаях злоумышленники могли получить паспорта, водительские удостоверения и фотографии, сделанные при прохождении верификации личности.

Утечка затронула не только KYC-данные. В уведомлениях пострадавшим также упоминаются банковские выписки, IBAN, сведения о выводе средств и история операций по счетам. Для некоторых клиентов могла быть раскрыта и полная история транзакций с Bitcoin.

Исследователь блокчейн-угроз ZachXBT предположил, что атака могла быть нацелена преимущественно на состоятельных пользователей. Revolut этого не подтверждал, поэтому пока это остаётся предположением, а не установленным фактом.

При этом сама банковская инфраструктура Revolut, по заявлению компании, взломана не была, а средства клиентов не пострадали. После обнаружения схемы Revolut заблокировал использованный адрес, связался с соответствующим государственным ведомством и уведомил правоохранительные органы, регуляторов финансового рынка и органы по защите данных. Пострадавших клиентов компания уведомляет напрямую.

Инцидент примечателен тем, что показывает другой путь к чувствительной информации. Для крупной утечки необязательно искать техническую уязвимость в банковской системе — иногда достаточно скомпрометировать доверенный канал, через который организации обмениваются конфиденциальными данными.

В случае Revolut защитные механизмы самой банковской платформы могли продолжать работать штатно, однако данные всё равно покинули компанию, поскольку мошеннический запрос был принят за настоящий.