Revolut har opplyst om en datalekk etter å ha sendt sensitiv kundeinformasjon til en angriper som utga seg for å være en offentlig myndighet. De eksponerte opplysningene inkluderer identitetsdokumenter, bilder for ansiktsverifisering, kontoutskrifter og fullstendige transaksjonshistorikker.
Fintech-selskapet sa at hendelsen påvirket et svært begrenset antall kunder. Det har imidlertid ikke oppgitt det nøyaktige antallet.
Angriper brukte offisielt e-postdomene til en myndighet
Hendelsen begynte da Revolut mottok en e-post med en forespørsel om kundeinformasjon. Meldingen så ut til å komme fra en legitim offentlig organisasjon.
Ifølge selskapet sendte en uautorisert konto forespørselen direkte gjennom myndighetens offisielle e-postdomene. Meldingen hadde også gyldig domeneautentisering.
Som følge av dette trodde Revolut at forespørselen var ekte og utleverte den etterspurte kundeinformasjonen. Selskapet identifiserte ikke hvilken myndighet som var involvert eller forklarte hvordan angriperen fikk tilgang til e-postsystemet.
Revolut opererer i mer enn 160 land og regioner. Selskapet tilbyr bank-, investerings- og pengeforvaltningstjenester til over 80 millioner kunder, inkludert 800 000 bedriftskunder.
Datalekkasje eksponerer identitetsdokumenter og selfier
Revolut-datalekkasjen eksponerte flere typer personlig identifiserbar informasjon. De delte opplysningene inkluderte kundenes fulle navn, fødselsdatoer og yrker.
Angriperne mottok også postadresser, e-postadresser og telefonnumre. I tillegg inneholdt de kompromitterte dataene kopier av pass eller førerkort.
Revolut utleverte også bilder for ansiktsverifisering som ble sendt inn under Know Your Customer-kontroller. Kunder leverer vanligvis disse selfiene når de oppretter og verifiserer en konto.
Denne kombinasjonen skaper en betydelig risiko for identitetstyveri og etterligning. Kriminelle kan også bruke informasjonen til å lage overbevisende phishing-meldinger rettet mot berørte kunder.
Finansielle opplysninger og Bitcoin-transaksjoner inkludert
Den eksponerte informasjonen omfattet mer enn identitets- og kontaktopplysninger. Revolut delte kontoutskrifter som inneholdt internasjonale bankkontonumre, samt opplysninger om uttak.
Dessuten eksponerte datalekkasjen fullstendige transaksjonshistorikker. Disse opplysningene inkluderte kundenes Bitcoin-transaksjoner.
Revolut sa at selskapets interne systemer og kundenes midler ikke ble berørt. Hendelsen skyldtes derfor ikke at angripere direkte brøt seg inn i selskapets bankplattform.
De detaljerte finansielle opplysningene kan imidlertid hjelpe kriminelle med å identifisere verdifulle mål. Kryptosvindel-etterforskeren ZachXBT antydet at angriperen kan ha rettet seg spesifikt mot velstående Revolut-brukere.
Revolut varsler myndigheter og tilsynsorganer
Revolut blokkerte den uautoriserte e-postadressen etter å ha oppdaget hendelsen. Selskapet varslet også den berørte myndigheten og relevante politimyndigheter.
I tillegg informerte selskapet datatilsynsmyndigheter og finansielle tilsynsorganer. Revolut har begynt å kontakte kunder hvis informasjon var inkludert i de utleverte opplysningene.
Selskapet beskrev antallet berørte brukere som svært begrenset. Likevel nektet det å oppgi et nøyaktig antall.
Berørte kunder bør være oppmerksomme på målrettet phishing, identitetssvindel og forsøk på kontoetterligning. De bør også være forsiktige med meldinger som inneholder korrekte personlige eller finansielle opplysninger.
Tidligere datalekkasje rammet over 50 000 kunder
Hendelsen følger en annen Revolut-datalekkasje som ble offentliggjort i september 2022. I det tilfellet stjal angripere personlige opplysninger, kontaktinformasjon og finansielle data som tilhørte 50 150 kunder.
De stjålne opplysningene førte senere til en bølge av phishing-forsøk. På samme måte kan kriminelle bruke informasjon fra den siste datalekkasjen til å få svindelmeldinger til å fremstå som legitime.
Revolut-kunder som er berørt av den nye hendelsen, bør overvåke kontoene sine og bekrefte uvanlige forespørsler gjennom offisielle støttekanaler. De bør også unngå å dele verifiseringskoder eller påloggingsopplysninger som svar på uventede meldinger.
0 responses to “Revolut-datalekk eksponerer pass og finansielle opplysninger”