Revolut віддав шахраям паспортні й банківські дані після фальшивих запитів: як стався витік і що робити клієнтам

Це не був класичний злам банку

Історія з Revolut небезпечна саме тим, що вона ламає звичну картину кіберінциденту. За повідомленнями Reuters, Financial Times і TechCrunch, внутрішні банківські системи не довелося пробивати шкідливим кодом. Шахраї використали канал, якому фінансові компанії зазвичай мають довіряти: запити, що виглядали як офіційні звернення державного органу.

Revolut підтвердив, що розкрив чутливі дані неавторизованій стороні після шахрайських запитів, надісланих із легітимного домену державної установи. Компанія наголошує, що її основні системи, бази даних і кошти клієнтів не були зламані. Але для людини, чиї паспортні копії, адреса або історія транзакцій опинилися у сторонніх осіб, різниця між «зламали сервер» і «переконали банк добровільно віддати дані» мало втішає.

Що саме могло потрапити до чужих рук

У повідомленні постраждалим клієнтам, яке переглянув TechCrunch, Revolut описував широкий набір інформації: дату народження, поштову та електронну адресу, номер телефону, копії паспорта або водійського посвідчення, а в окремих випадках — селфі для верифікації, банківські виписки та історію транзакцій. Financial Times також писала про дані рахунків, домашні адреси й інформацію, пов’язану з bitcoin-активністю.

Ключове слово тут — «могло». Набір даних відрізняється для різних людей, тому не варто автоматично припускати, що в кожного постраждалого витекло все одразу. Revolut заявив, що напряму зв’язався з тими, кого вважає зачепленими інцидентом.

Звідки взялася цифра 680

Financial Times, посилаючись на поінформованих співрозмовників, повідомила про 680 клієнтів, яких Revolut поінформував після початкового розслідування. Сам Revolut публічно характеризував кількість постраждалих як обмежену й не підтверджував усі цифри, які називали журналісти та люди, що приписують собі атаку.

Це важлива редакційна межа. Факт витоку і механізм шахрайських запитів підтверджені компанією. Точна кількість акаунтів, спосіб вибору цілей та частина деталей про компрометацію італійської державної поштової системи походять із розслідування FT та заяв самих атакувальників і мають сприйматися саме в такому статусі.

Як працювала схема з «офіційною» поштою

За версією Financial Times, зловмисники отримали доступ до італійського каналу PEC — сертифікованої електронної пошти, яку використовують для юридично значущого листування. Далі вони нібито протягом місяців видавали себе за правоохоронців і запитували інформацію про конкретні акаунти Revolut.

Для служби, яка щодня обробляє законні запити від поліції, судів та регуляторів, лист із правильного домену й через звичний державний канал виглядає принципово інакше, ніж фішинг із випадкової Gmail-адреси. Саме тому цей випадок цікавий не лише користувачам Revolut: він демонструє, що ланцюг довіри може бути атакований на рівні іншої установи, а потім використаний проти банку.

Чому багатофакторний захист акаунта тут майже не допомагає

Користувач може мати складний пароль, passkey, біометрію та двофакторну автентифікацію — і все одно постраждати, якщо дані видає сам сервіс у відповідь на запит, який вважає законним. Це інший клас ризику: не account takeover, а зловживання процедурою disclosure.

Для фінансових компаній висновок очевидний: справжність домену або навіть захищеного державного каналу не повинна бути єдиним доказом справжності запиту. Для особливо чутливих даних потрібна незалежна перевірка запиту, контроль повноважень, журналювання, правило «двох пар очей» і аномалійний аналіз частоти та набору запитаних акаунтів.

Звідки взявся викуп у $3 млн

16 вересня Financial Times повідомила, що група, яка називає себе iamnotavillain, публічно вимагала від Revolut $3 млн у Monero та погрожувала продати інформацію кримінальним групам. Reuters окремо передав позицію Revolut: компанія заявила, що не отримувала прямого контакту або вимоги викупу від людей чи групи, які роблять ці заяви.

Це не суперечність у фактах, якщо читати формулювання буквально. Публічний ультиматум може існувати без приватних переговорів із компанією. Водночас твердження нападників про повний обсяг викраденого, мотиви та метод відбору цілей не можна автоматично вважати доведеними лише тому, що вони опублікували скріншоти.

Що робити клієнтам Revolut зараз

Перше — не панікувати й не реагувати на випадкові листи, які обіцяють «перевірити, чи є ви у витоку». Після гучного інциденту майже неминуче з’являється друга хвиля фішингу. Перевіряти повідомлення варто через офіційний застосунок і центр підтримки, а не через посилання з листа чи месенджера.

Друге — якщо Revolut повідомив вас як постраждалого, варто зберегти це сповіщення, уважно стежити за транзакціями, змінити повторно використані паролі в інших сервісах, увімкнути максимальні засоби захисту акаунтів і бути особливо обережним із дзвінками від «банку», «поліції» або «служби безпеки». Якщо витікла копія документа, дії залежать від країни проживання та конкретного документа: слід орієнтуватися на інструкції місцевих органів і повідомлення самого Revolut, а не поспішати самостійно анулювати документ без необхідності.

Чому ця історія важлива для українців у Європі

Revolut став звичним фінансовим інструментом для багатьох українців, які живуть, працюють або подорожують у Європі. Для такої аудиторії особливо небезпечні не лише прямі крадіжки коштів, а й точний соціальний інжиніринг: шахрай, який уже знає адресу, телефон, частину транзакцій і бачить копію документа, може створити значно переконливішу легенду.

Тому головний ризик після такого витоку — не обов’язково миттєве списання грошей. Це довгий хвіст атак: фальшиві дзвінки, підміна служби підтримки, спроби відновлення доступу в інших сервісах, таргетований криптофішинг і шахрайство з документами.

Головний урок: перевіряти потрібно не лише користувача, а й того, хто просить його дані

Фінтех десятиліттями інвестував у KYC — перевірку клієнта. Цей інцидент нагадує про зворотну сторону: коли хтось приходить по дані клієнта від імені держави, банк також повинен проводити своєрідний KYR — know your requester. Чим чутливіші дані, тим менше довіра має залежати від одного сигналу.

І саме тому ця історія більша за Revolut. Вона показує вразливість цифрової бюрократії, де одна скомпрометована довірена ланка може перетворити правильно налаштовану систему на канал витоку без жодного експлойта в самому банку.

Галерея

↗

↗

↗

↗