Atakujący Revoluta w weekend zaczęli publikować skany paszportów klientów oraz selfie używane do weryfikacji tożsamości. Żądają okupu i zapowiadają kolejne, codzienne zrzuty danych, dopóki fintech nie spełni ich żądań.
Najważniejsze informacje:
- Sprawcy ataku opublikowali dokumenty tożsamości i selfie klientów Revoluta, zapowiadając codzienne ujawnianie kolejnych pakietów do czasu zapłaty okupu.
- Wyciek ma obejmować m.in. paszporty, numery IBAN, historię wypłat oraz pełne historie transakcyjne.
- Revolut twierdzi, że naruszenie dotknęło „bardzo ograniczoną” liczbę klientów, a systemy i środki finansowe pozostały nienaruszone.
Wyciek danych Revoluta wychodzi na jaw
Konto monitorujące ataki cybernetyczne International Cyber Digest poinformowało 13 września, że grupa przestała czekać na wypłatę okupu i rozpoczęła publikację plików dotyczących znanych posiadaczy rachunków. W pierwszej partii znalazły się dokumenty tożsamości i selfie weryfikacyjne. To samo konto dodało, że napastnicy wcześniej wysyłali do Revoluta maile z żądaniami informacji, zanim przeszli do publicznego ujawniania danych.
W ujawnionym zestawie znajdowały się dokumenty tenisisty Aleksandra Szewczenki oraz Felixa Römera, prezesa serwisu hazardu kryptowalutowego Gamdom. Serwisy branżowe oszacowały, że żądanie okupu opiewa na 10 000 bitcoinów (BTC), czyli blisko 780 mln dol. przy poniedziałkowych notowaniach, choć inne źródła wskazują, że ostateczna kwota nie została oficjalnie potwierdzona.
Revolut odmówił komentarza w sprawie żądania zapłaty. Rzecznik firmy przekazał, że kluczowa infrastruktura, bazy danych oraz rachunki klientów nie zostały naruszone.
Zobacz również: Fundusze ETF na XRP biją rekord 1,7 mld dol. napływów mimo słabości kursu
ZachXBT: celem są „wieloryby”
Niezależny badacz ZachXBT rozpowszechnił na Telegramie komunikat wysłany klientom. W osobnym wpisie doprecyzował, że zakres wycieku obejmuje szerszy katalog danych, niż wynikało to z maila Revoluta – m.in. numery IBAN, rejestry wypłat, informacje o zawodzie, a także pełne historie transakcji w bitcoinie. Według jego oceny skala incydentu jest ograniczona, ale atak ukierunkowano na zamożniejszych posiadaczy kont.
Revolut nie potwierdził tej interpretacji i nie stwierdził, by posiadacze kryptowalut byli celem szczególnym. Badacze ostrzegają, że połączenie skanu paszportu z pełną historią obrotu kryptowalutami umożliwia wysoce precyzyjne phishingi i analizę łańcucha transakcji, wychodzącą od realnych nazwisk. Ujawnienie dokumentów tożsamości i zdjęć biometrycznych znacząco podnosi też ryzyko oszustw z wykorzystaniem kradzieży tożsamości u wszystkich osób, które znalazły się w wycieku.
Jak doszło do wycieku danych Revoluta
Źródłem incydentu był pojedynczy e‑mail wysłany z konta utworzonego w ramach prawdziwej domeny rządowej instytucji. Wiadomość zawierała poprawne mechanizmy uwierzytelniania i przeszła standardowe kontrole Revoluta. Banki są zobowiązane reagować na oficjalne wnioski organów publicznych, a treść tego maila była do nich zbliżona.
Kopie powiadomień skierowanych do klientów zaczęły krążyć 12 września. Revolut opisał wtedy całe zdarzenie jako „wysoce zaawansowane zewnętrzne podszywanie się” i poinformował, że zawiadomił organy nadzoru oraz organy ścigania.
Tego samego dnia Mark Karpelès, były prezes upadłej giełdy Mt. Gox, opublikował własne powiadomienie na temat incydentu. Revolut nadal nie ujawnił, ilu klientów faktycznie dotknął wyciek. Fintech obsługuje ponad 80 mln użytkowników w 30 krajach i prowadzi obecnie sprzedaż akcji z rynku wtórnego, w której wycena spółki sięga około 115 mld dol.
Przeczytaj następnie: Sam Altman wyklucza debiut OpenAI na giełdzie w 2026 r., tłumacząc to priorytetem bezpieczeństwa AI
