Revolut har oplyst om et datalæk efter at have sendt følsomme kundeoplysninger til en angriber, der udgav sig for at være en offentlig myndighed. De eksponerede oplysninger omfatter identitetsdokumenter, billeder til ansigtsverificering, kontoudtog og komplette transaktionshistorikker.
Fintechvirksomheden oplyste, at hændelsen berørte et meget begrænset antal kunder. Den har dog ikke afsløret det præcise antal.
Angriber brugte officielt e-maildomæne fra myndighed
Hændelsen begyndte, da Revolut modtog en e-mail med en anmodning om kundeoplysninger. Beskeden så ud til at komme fra en legitim offentlig organisation.
Ifølge virksomheden sendte en uautoriseret konto anmodningen direkte gennem myndighedens officielle e-maildomæne. Beskeden havde også gyldige legitimationsoplysninger til domæneautentificering.
Som følge heraf troede Revolut, at anmodningen var ægte, og udleverede de ønskede kundeoplysninger. Virksomheden identificerede ikke den involverede myndighed eller forklarede, hvordan angriberen fik adgang til dens e-mailsystem.
Revolut opererer i mere end 160 lande og regioner. Virksomheden leverer bank-, investerings- og pengeforvaltningstjenester til over 80 millioner kunder, herunder 800.000 erhvervskunder.
Datalæk eksponerer identitetsdokumenter og selfies
Revolut-datalækket eksponerede flere typer personligt identificerbare oplysninger. De delte oplysninger omfattede kundernes fulde navne, fødselsdatoer og erhverv.
Angriberne modtog også postadresser, e-mailadresser og telefonnumre. Derudover indeholdt de kompromitterede data kopier af pas eller kørekort.
Revolut udleverede også billeder til ansigtsverificering, som var blevet indsendt under Know Your Customer-kontroller. Kunder leverer typisk disse selfies, når de opretter og verificerer en konto.
Denne kombination skaber en betydelig risiko for identitetstyveri og identitetsmisbrug. Kriminelle kan også bruge oplysningerne til at skabe overbevisende phishing-beskeder rettet mod berørte kunder.
Finansielle oplysninger og Bitcoin-transaktioner inkluderet
De eksponerede oplysninger omfattede mere end identitets- og kontaktoplysninger. Revolut delte kontoudtog med internationale bankkontonumre samt oplysninger om hævninger.
Desuden eksponerede datalækket komplette transaktionshistorikker. Disse oplysninger omfattede kundernes Bitcoin-transaktioner.
Revolut oplyste, at virksomhedens interne systemer og kundernes midler ikke blev berørt. Hændelsen skyldtes derfor ikke, at angribere direkte havde brudt ind i virksomhedens bankplatform.
De detaljerede finansielle oplysninger kan dog hjælpe kriminelle med at identificere værdifulde mål. Efterforskeren af kryptosvindel ZachXBT antydede, at angriberen muligvis specifikt havde rettet sig mod velhavende Revolut-brugere.
Revolut underretter myndigheder og tilsynsorganer
Revolut blokerede den uautoriserede e-mailadresse efter at have opdaget hændelsen. Virksomheden underrettede også den berørte myndighed og relevante retshåndhævende myndigheder.
Derudover informerede virksomheden databeskyttelsesmyndigheder og finansielle tilsynsmyndigheder. Revolut er begyndt at kontakte kunder, hvis oplysninger fremgik af de udleverede data.
Virksomheden beskrev antallet af berørte brugere som meget begrænset. Den afviste dog at oplyse et præcist antal.
Berørte kunder bør være opmærksomme på målrettet phishing, identitetssvindel og forsøg på at udgive sig for at være kontohaveren. De bør også være forsigtige med beskeder, der indeholder korrekte personlige eller finansielle oplysninger.
Tidligere datalæk berørte over 50.000 kunder
Hændelsen følger et andet Revolut-datalæk, der blev offentliggjort i september 2022. I det tilfælde stjal angribere personlige oplysninger, kontaktoplysninger og finansielle oplysninger tilhørende 50.150 kunder.
De stjålne data førte senere til en bølge af phishing-forsøg. På samme måde kan kriminelle bruge oplysninger fra det seneste datalæk til at få svigagtige beskeder til at fremstå legitime.
Revolut-kunder, der er berørt af den nye hændelse, bør overvåge deres konti og verificere usædvanlige anmodninger gennem officielle supportkanaler. De bør også undgå at dele verificeringskoder eller legitimationsoplysninger som svar på uventede beskeder.
0 svar til “Revolut-datalæk eksponerer pas og finansielle oplysninger”