Revolut đã trở thành mục tiêu của một chiến dịch tống tiền khi kẻ tấn công bắt đầu công bố hộ chiếu khách hàng và ảnh selfie xác minh danh tính cuối tuần qua, kèm yêu cầu trả tiền chuộc và cam kết sẽ tung dữ liệu mới mỗi ngày cho tới khi fintech này chấp nhận.
Những điểm chính:
- Nhóm tấn công đã bắt đầu đăng tải giấy tờ định danh và ảnh selfie của khách hàng Revolut, tuyên bố sẽ phát tán thêm mỗi ngày cho tới khi được trả tiền chuộc.
- Dữ liệu bị rò rỉ được cho là bao gồm hộ chiếu, số IBAN, lịch sử rút tiền và toàn bộ lịch sử giao dịch.
- Revolut nói chỉ một lượng khách hàng “rất hạn chế” bị ảnh hưởng, hệ thống và tiền của khách không bị xâm phạm.
Rò rỉ Revolut chuyển sang công khai
Tài khoản giám sát International Cyber Digest đăng tải ngày 13/9 rằng nhóm tấn công đã ngừng chờ tiền chuộc và bắt đầu xả dữ liệu của những khách hàng nổi tiếng. Lô đầu tiên bao gồm giấy tờ định danh và ảnh selfie dùng để xác minh tài khoản. Cùng tài khoản này cho biết trước đó kẻ tấn công đã gửi email cho Revolut để đòi thêm thông tin trước khi đưa vụ việc ra công chúng.
Các tài liệu này thuộc về tay vợt tennis Alexander Shevchenko và Felix Römer, giám đốc điều hành trang cá cược tiền số Gamdom. Một số trang tin tiền mã hóa ước tính yêu cầu tiền chuộc ở mức 10.000 Bitcoin (BTC), tương đương gần 780 triệu USD theo giá ngày thứ Hai, dù cũng có nguồn nói rằng con số cụ thể chưa được xác nhận.
Revolut từ chối bình luận về yêu cầu tiền chuộc. Người phát ngôn chỉ nhấn mạnh hạ tầng cốt lõi, cơ sở dữ liệu và tài khoản khách hàng không bị đụng tới.
Bài liên quan: Quỹ ETF XRP đạt kỷ lục 1,7 tỷ USD, chuỗi hút vốn 9 tuần bất chấp giá suy yếu
ZachXBT: Mục tiêu là “cá voi”
Chuyên gia điều tra on-chain ZachXBT là người lan truyền thông báo gửi khách hàng trên Telegram. Anh bổ sung thêm một số loại dữ liệu mà Revolut không liệt kê trong email của mình, bao gồm số IBAN, lịch sử rút tiền, nghề nghiệp và toàn bộ lịch sử giao dịch Bitcoin. Theo đánh giá của ZachXBT, quy mô rò rỉ không quá lớn nhưng nhắm vào nhóm khách hàng giàu có.
Revolut chưa xác nhận cách nhìn nhận này và cũng không nói riêng nhóm nắm giữ tiền số bị nhắm tới. Dù vậy, các nhà nghiên cứu cảnh báo việc ghép ảnh hộ chiếu với lịch sử giao dịch đầy đủ có thể tạo điều kiện cho các chiến dịch lừa đảo nhắm đích (phishing) và phân tích dòng tiền blockchain bắt đầu từ tên thật của nạn nhân. Giấy tờ tùy thân và ảnh nhận diện khuôn mặt cũng làm tăng nguy cơ bị mạo danh để lừa đảo tài chính.
Nguồn gốc vụ lộ dữ liệu Revolut
Toàn bộ sự cố được truy ngược về một email duy nhất được gửi từ một hộp thư tạo bên trong tên miền hợp pháp của một cơ quan chính phủ, có đầy đủ xác thực kỹ thuật và vượt qua các lớp kiểm tra của Revolut. Theo quy định, ngân hàng buộc phải xử lý yêu cầu chính thức từ cơ quan nhà nước, và nội dung email này được soạn y hệt một yêu cầu như vậy.
Bản sao thông báo gửi khách hàng bắt đầu được chia sẻ rộng rãi ngày 12/9, khi Revolut gọi đây là một vụ “giả mạo tinh vi từ bên ngoài”, đồng thời cho biết đã thông báo cho cơ quan quản lý và lực lượng thực thi pháp luật.
Mark Karpelès, cựu CEO sàn Mt. Gox, cũng đăng thông báo riêng trong ngày hôm đó. Đến nay Revolut vẫn chưa công bố con số khách hàng bị ảnh hưởng. Fintech này đang phục vụ hơn 80 triệu người dùng tại 30 quốc gia và hiện tiến hành bán cổ phần thứ cấp, định giá công ty xấp xỉ 115 tỷ USD.
Bài tiếp theo: Sam Altman loại trừ khả năng IPO OpenAI năm 2026, viện dẫn lo ngại về an toàn AI
