Revolut napastnicy w weekend zaczęli publikować skany paszportów klientów oraz selfie używane do weryfikacji tożsamości. Domagają się okupu i zapowiadają codzienne nowe wycieki, dopóki fintech nie spełni ich żądań.
Najważniejsze ustalenia:
- Sprawcy zaczęli ujawniać dokumenty tożsamości klientów Revoluta oraz ich selfie, zapowiadając codzienne publikacje do czasu zapłaty okupu.
- W przecieku mają znajdować się m.in. paszporty, numery IBAN, dane o wypłatach i pełne historie handlu.
- Revolut utrzymuje, że incydent dotyczy „bardzo ograniczonej liczby” klientów, a jego systemy i środki finansowe pozostały nienaruszone.
Wyciek danych Revoluta trafia do sieci
Konto monitorujące International Cyber Digest poinformowało 13 września, że grupa przestała czekać na wypłatę i rozpoczęła zrzut plików dotyczących znanych posiadaczy kont. W pierwszej partii ujawniono dokumenty tożsamości i selfie weryfikacyjne. To samo konto podało, że przed upublicznieniem danych atakujący wysłali do Revoluta e‑maile z żądaniami informacji.
Dokumenty należały do tenisisty Aleksandra Szewczenki oraz Felixa Römera, prezesa serwisu hazardu kryptowalutowego Gamdom. Serwisy kryptowalutowe podawały, że żądanie okupu wynosi 10 000 Bitcoinów (BTC), czyli blisko 780 mln dolarów przy poniedziałkowych notowaniach, choć inne źródła wskazywały, że kwota nie została oficjalnie potwierdzona.
Revolut odmówił komentarza w sprawie żądania okupu. Rzecznik firmy zapewnił, że kluczowa infrastruktura, bazy danych oraz rachunki klientów nie zostały naruszone.
Zobacz też: Fundusze ETF na XRP notują rekordowe 1,7 mld USD napływów mimo słabości cenowej
ZachXBT wskazuje na celowanie w „wielorybów”
Analityk on-chain ZachXBT rozpowszechnił na Telegramie komunikat skierowany do klientów. W swoim wpisie doprecyzował kilka kategorii danych, których Revolut nie wymienił w mailu, w tym numery IBAN, historię wypłat, informacje o zawodzie oraz pełne historie transakcji Bitcoinem. Ocenił, że skala wycieku jest ograniczona, ale atak był wymierzony w zamożniejszych użytkowników.
Revolut nie potwierdził tej interpretacji i nie przyznał, by posiadacze kryptowalut byli celem szczególnej selekcji. Badacze ostrzegają, że połączenie skanu paszportu z pełną historią obrotu ułatwia wysoce spersonalizowany phishing oraz zaawansowaną analizę łańcucha transakcji, zaczynającą się od danych osobowych. Dokumenty tożsamości i wizerunki z weryfikacji twarzy zwiększają też ryzyko kradzieży tożsamości i podszywania się pod poszkodowanych.
Jak doszło do naruszenia w Revolucie
Źródłem incydentu był pojedynczy e‑mail wysłany ze skrzynki założonej w prawdziwej domenie instytucji rządowej. Wiadomość posiadała ważną autoryzację i przeszła techniczne kontrole Revoluta. Banki mają obowiązek reagować na oficjalne żądania organów państwowych, a treść korespondencji wyglądała na taką właśnie prośbę.
Kopie komunikatu do klientów zaczęły krążyć 12 września, kiedy Revolut określił incydent jako „wysoce zaawansowane podszycie się pod organ państwowy” i poinformował, że zawiadomił regulatorów oraz organy ścigania.
Tego samego dnia Mark Karpelès, były prezes giełdy Mt. Gox, opublikował własne powiadomienie o incydencie. Spółka nadal nie ujawniła, ile osób zostało dotkniętych wyciekiem. Revolut obsługuje ponad 80 mln klientów w 30 krajach i prowadzi obecnie wtórną sprzedaż akcji, która wycenia firmę na ok. 115 mld dolarów.
Czytaj dalej: Sam Altman wyklucza giełdowy debiut OpenAI w 2026 r. i obarcza winą koszty bezpieczeństwa AI
