Revolut подтвердила раскрытие конфиденциальной информации клиентов неавторизованной третьей стороне после получения ложных запросов с легитимного почтового домена государственного ведомства. Инцидент использовал видимую официальность внешнего канала, а не заявленное проникновение в основные системы Revolut.
Компания назвала число затронутых клиентов очень ограниченным и сообщила, что уведомила каждого из них. Точное количество не раскрыто, поэтому масштаб нельзя превращать в более крупную или точную цифру без дополнительного подтверждения.
Среди раскрытых данных назывались даты рождения, почтовые и электронные адреса, номера телефонов и копии удостоверений личности, включая паспорта и водительские права. Такие сведения могут облегчить выдачу себя за другое лицо и целевой фишинг даже без доступа к средствам.
Revolut заявила, что ее системы и деньги клиентов не пострадали. Это различие ограничивает подтвержденный операционный ущерб, но не устраняет риск для конфиденциальности, когда долговечные документы и контакты попадают к неавторизованному получателю.
После выявления инцидента компания заблокировала использованный для запросов адрес. Она также уведомила соответствующее ведомство, правоохранительные органы, службы защиты данных и финансовых регуляторов, поставив под проверку обманный канал и механизмы верификации Revolut.
Эпизод показывает тип сбоя, способный обойти техническую защиту периметра. Сообщение может прийти с легитимного домена, но содержать несанкционированный запрос, поэтому до раскрытия данных необходимо независимо проверить личность заявителя, его полномочия и объем требований.
Утечка произошла в момент, когда Revolut рассматривает возможное публичное размещение и, как сообщалось, стремится к оценке до $200 млрд. Эти планы отделены от инцидента, однако реакция регуляторов, стоимость исправлений и доверие клиентов могут влиять на оценку управления финтех-компанией.
Следующие данные должны уточнить число клиентов, полный перечень сведений, длительность запросов и любое доказанное злоупотребление. Пока обоснованный вывод состоит в серьезном, но ограниченном раскрытии без подтвержденного взлома систем Revolut или ущерба средствам клиентов.
