أكدت Revolut أن معلومات حساسة تخص عملاء كُشفت لطرف ثالث غير مصرح له بعد تلقي الشركة طلبات معلومات احتيالية من نطاق بريد إلكتروني شرعي لوكالة حكومية. استغل الحادث المظهر الرسمي لقناة اتصال خارجية، لا اختراقاً معلناً للأنظمة المركزية لدى الشركة.
وصفت الشركة المتضررين بأنهم عدد محدود جداً من العملاء وقالت إنها أخطرتهم جميعاً. ولم تكشف رقماً دقيقاً، ولذلك لا ينبغي تحويل النطاق إلى عدد أكبر أو أكثر تحديداً من دون تأكيد إضافي.
شملت المعلومات المكشوفة وفق التقارير تواريخ الميلاد والعناوين البريدية والإلكترونية وأرقام الهواتف ونسخاً من وثائق الهوية، بينها جوازات سفر ورخص قيادة. يمكن لهذه الفئات أن تسهل انتحال الهوية والتصيد الموجه حتى من دون الوصول إلى الأموال.
قالت Revolut إن أنظمتها وأموال العملاء لم تتأثر. يحد هذا التمييز من الأثر التشغيلي المؤكد، لكنه لا يلغي مخاطر الخصوصية عندما تصل وثائق هوية طويلة الصلاحية وبيانات اتصال إلى جهة غير مصرح لها.
بعد اكتشاف الحادث، قالت الشركة إنها حجبت العنوان المستخدم في الطلبات. كما أخطرت الوكالة الحكومية المعنية وهيئات إنفاذ القانون وسلطات حماية البيانات والجهات التنظيمية المالية، ما وضع القناة المخادعة وضوابط التحقق لدى Revolut موضع فحص.
يبرز الحادث نوعاً من الإخفاق الأمني يستطيع تجاوز الدفاعات التقنية المحيطية. قد تأتي الرسالة من نطاق شرعي ومع ذلك تحمل طلباً غير مصرح به، ما يتطلب التحقق من طالب المعلومات وسلطته القانونية والنطاق ومسار اتصال مستقل قبل كشف البيانات.
تأتي الواقعة بينما تدرس Revolut إدراجاً عاماً محتملاً وتسعى وفق تقارير إلى تقييم يصل إلى 200 مليار دولار. هذه الطموحات منفصلة عن الحادث، لكن الاستجابة التنظيمية وتكاليف المعالجة وثقة العملاء قد تؤثر في تقييم حوكمة شركة تكنولوجيا مالية.
ينبغي أن تشمل الأدلة التالية العدد المؤكد للعملاء والقائمة الكاملة للبيانات ومدة نشاط الطلبات وأي إساءة استخدام مثبتة. وحتى تظهر هذه الحقائق، فالخلاصة المنضبطة هي كشف خطير لكنه محدود، من دون اختراق مؤكد لأنظمة Revolut أو أموال العملاء.
