Revolut kembali jadi sorotan setelah kelompok peretas mulai memublikasikan paspor nasabah dan swafoto verifikasi (selfie KYC) sejak akhir pekan lalu. Mereka menuntut pembayaran tebusan dan berjanji merilis kebocoran baru setiap hari hingga perusahaan fintech asal Inggris tersebut memenuhi permintaan mereka.
Poin Penting:
- Pelaku ancaman mulai mengunggah dokumen identitas dan selfie nasabah Revolut, menjanjikan rilis harian sampai tebusan dibayar.
- Data yang bocor dilaporkan mencakup paspor, IBAN, riwayat penarikan, dan rekam jejak perdagangan secara lengkap.
- Revolut menyatakan hanya sejumlah sangat kecil nasabah yang terdampak, dan sistem inti serta dana nasabah tetap aman.
Kebocoran Revolut Jadi Konsumsi Publik
Akun pemantau serangan siber International Cyber Digest melaporkan pada 13 September bahwa kelompok peretas berhenti menunggu pembayaran dan mulai membuang (dump) berkas yang diklaim terkait nasabah profil tinggi. Batch pertama berisi dokumen identitas dan selfie verifikasi. Akun yang sama menyebut para pelaku sebelumnya sudah mengirim email ke Revolut dengan serangkaian tuntutan informasi sebelum beralih ke taktik membocorkan data ke publik.
Dokumen tersebut dikaitkan dengan petenis Alexander Shevchenko dan Felix Römer, CEO platform judi kripto Gamdom. Sejumlah media kripto menyebut nilai tebusan yang diminta mencapai 10.000 Bitcoin (BTC), setara hampir US$780 juta pada harga Senin, meski laporan lain menyatakan angka pastinya belum terkonfirmasi.
Revolut menolak berkomentar terkait nilai tebusan. Juru bicara perusahaan menegaskan infrastruktur inti, basis data, dan rekening nasabah tidak tersentuh.
Baca Juga: ETF XRP Cetak Rekor US$1,7 Miliar Meski Harga Melemah Selama 9 Pekan
ZachXBT Soroti Target Nasabah Kelas Kakap
Penyelidik on-chain ZachXBT ikut menyebarkan salinan pemberitahuan resmi Revolut kepada nasabah di kanal Telegram. Ia kemudian menambahkan sejumlah kategori data yang menurutnya tidak disebutkan Revolut dalam email, antara lain IBAN, riwayat penarikan, jenis pekerjaan, serta riwayat lengkap transaksi Bitcoin. ZachXBT menilai insiden ini memang terbatas dari sisi jumlah korban, tetapi menyasar pemilik rekening bernilai besar (whale).
Revolut belum mengonfirmasi karakterisasi tersebut dan belum menyatakan bahwa pemegang aset kripto secara khusus menjadi target. Sejumlah peneliti keamanan mewanti-wanti bahwa menggabungkan foto paspor dengan riwayat perdagangan kripto yang lengkap membuka peluang serangan phishing yang sangat terarah dan analisis rantai blok (chain analysis) berbasis identitas asli. Kepemilikan dokumen identitas dan foto verifikasi wajah juga meningkatkan risiko penipuan dengan modus peniruan identitas bagi semua pihak yang namanya muncul dalam bocoran data tersebut.
Asal Muasal Kebocoran Revolut
Investigasi awal menelusuri sumber kebocoran ke satu email yang dikirim dari kotak surat yang dibuat di dalam domain resmi sebuah lembaga pemerintah, lengkap dengan autentikasi valid sehingga lolos seluruh pemeriksaan Revolut. Secara regulasi, bank dan lembaga pembayaran wajib merespons permintaan resmi otoritas, dan isi pesan tersebut ditulis sedemikian rupa sehingga terbaca sebagai permintaan sah dari instansi pemerintah.
Salinan pemberitahuan ke nasabah mulai beredar pada 12 September, saat Revolut menyebut insiden ini sebagai serangan impersonasi eksternal yang canggih dan mengklaim telah memberi tahu regulator serta aparat penegak hukum.
Mark Karpelès, mantan CEO bursa kripto legendaris Mt. Gox, pada hari yang sama mempublikasikan pemberitahuan pribadinya terkait insiden tersebut. Hingga kini, perusahaan belum mengungkap berapa banyak nasabah yang terdampak. Revolut sendiri melayani lebih dari 80 juta pelanggan di 30 negara dan sedang menggelar penjualan saham sekunder yang menempatkan valuasinya mendekati US$115 miliar.
Artikel Selanjutnya: Sam Altman Coret Rencana IPO OpenAI 2026, Menyalahkan Fokus pada Keamanan AI
