Revolut Avslører Kunders Identiteter
Revolut har avslørt kunders identiteter og finansielle opplysninger, inkludert Bitcoin-transaksjonshistorikk, etter å ha reagert på en svindelforespørsel som tilsynelatende kom fra et statlig byrå. Ifølge en kundemelding fra Revolut, delt på Telegram av on-chain etterforsker ZachXBT, kom forespørselen fra en uautorisert e-postkonto som brukte et offisielt statlig byrås domene.
«Siden kommunikasjonen hadde gyldige domenegodkjenningslegitimasjoner, ble den oppfylt under rimelig tro på at det var en autentisk forespørsel fra et statlig byrå,» sa meldingen.
Meldingen nevner ikke hvilket byrå det gjelder, eller hvordan den uautoriserte avsenderen fikk tilgang til e-postdomenet. Den gir heller ingen dato for forespørselen eller avsløringen. ZachXBT sa at flere kunder mottok en varsling via e-post fredag 11. september, men verken han eller den delen av meldingen som ble vist i innlegget hans ga et bekreftet antall berørte brukere.
Detaljer om Avsløringen
I sin redegjørelse for hendelsen sa Revolut at e-posten så ut til å være en legitim forespørsel fra myndighetene fordi den hadde gyldige domenegodkjenningslegitimasjoner. Forespørselen resulterte i avsløringen av:
- Fullt navn
- Fødselsdatoer
- Yrker
- Kontaktinformasjon (postadresser, e-postadresser, telefonnumre)
- Kopier av identitetsdokumenter (pass eller førerkort)
- Selvportretter for identitetskontroller
- Kontoutskrifter (IBAN-er, kontostatus, datoer for kontoopprettelse, referansenummer for Bitcoin-lommebøker)
Revolut trakk en distinksjon mellom disse bildene og biometriske ansiktstelemetridata, som de sa ikke var involvert. Uttaksopptegnelser og full transaksjonshistorikk, inkludert Bitcoin-transaksjoner, ble også gitt.
Konsekvenser og Regulering
Det britiske informasjonskommisjonærens kontor sier at mulige konsekvenser av et brudd på personopplysninger inkluderer identitetstyveri, svindel og økonomisk tap. Dets veiledning om brudd krever en vurdering av informasjonen som er involvert og den sannsynlige skaden for enkeltpersoner; det fastslår ikke at noen har lidd slike utfall i Revolut-hendelsen.
For en kunde hvis identitetsdokument og transaksjonsopptegnelser begge ble avslørt, indikerer meldingen at mottakeren kunne ha fått en detaljert oversikt over den personens økonomi. ZachXBTs påstand om at velstående brukere ble målrettet har ikke blitt bekreftet av Revolut i det viste materialet.
Revoluts Respons
Revolut har ikke bekreftet hvor mange kunder som ble berørt av denne avsløringen, og det er uklart om de har varslet en regulator eller når selskapet først ble klar over den uautoriserte forespørselen. I sin amerikanske sikkerhetsveiledning ber Revolut kundene om å bruke støttechatten i appen for å sjekke om en mistenkelig kontakt er ekte.
Hendelsen skjer under Revoluts utvidelse av sine bank- og digitale aktivatjenester. Den 26. august begynte selskapet å tilby sin euro-støttede EURR-stablecoin til utvalgte kunder i Danmark, Polen og Portugal, med ytterligere europeisk tilgjengelighet planlagt.
Den 3. september mottok selskapet betinget godkjenning for en amerikansk bank fra Office of the Comptroller of the Currency. Den foreslåtte banken i Stamford, Connecticut, ville motta omtrent 95 millioner dollar i startkapital og kunne åpne i 2027 hvis den får de gjenværende godkjenningene.
