Wyciek danych Revolut. Firma potwierdza incydent z danymi klientów

Przeczytaj także: Dane osobowe krążą między systemami. Eksperci ostrzegają: uważaj, co wysyłasz do AI

Brytyjski fintech Revolut potwierdził, że ujawnił wrażliwe dane klientów nieuprawnionej osobie trzeciej po otrzymaniu fałszywych żądań wysłanych z legalnej domeny e-mail należącej do instytucji rządowej. Ujawnione dane obejmowały informacje identyfikacyjne i kontaktowe klientów, w tym datę urodzenia, adres zamieszkania, adres e-mail oraz numer telefonu, a także kopie dokumentów tożsamości, m.in. paszportów i praw jazdy.

Rzecznik Revoluta potwierdził, że incydent dotyczył „ograniczonej” liczby klientów i że firma skontaktowała się z nimi bezpośrednio. Revolut nie podał jednak dokładnej liczby poszkodowanych osób. Nie odpowiedział również na pytanie, czy incydent ograniczał się do konkretnego rynku, i odmówił ujawnienia, o jaką instytucję rządową chodziło.

Revolut działa w 30 krajach, w tym w Polsce, gdzie jest 5. bankiem pod kątem liczby klientów.

Prawdziwy adres e-mail nie oznacza prawdziwej wiadomości

Szczególnie niepokojące jest to, że żądania pochodziły z prawdziwego konta e-mail należącego do instytucji rządowej, przez co znacznie trudniej było rozpoznać je jako próbę oszustwa. Tymczasem dla wielu z nas właśnie sprawdzenie domeny, z której pochodzi wiadomość, jest jednym z podstawowych kryteriów oceny, czy e-mail jest wiarygodny - mówi Kamil Sadkowski, analityk cyberbezpieczeństwa ESET.

Z punktu widzenia firm, ten przypadek pokazuje, że cyberprzestępcy nie muszą atakować ich bezpośrednio. Czasem łatwiejszą drogą jest przejęcie konta organizacji, której firma ufa – partnera, dostawcy czy instytucji publicznej – i wykorzystanie tego zaufania do uzyskania danych lub skłonienia pracownika do określonego działania.

To oznacza, że nawet wiadomość przychodząca z prawidłowej domeny i od znanego nadawcy nie powinna automatycznie omijać procedur bezpieczeństwa, szczególnie gdy dotyczy przekazania wrażliwych informacji.

Dla zwykłych użytkowników lekcja jest podobna: prawdziwy adres e-mail nie zawsze oznacza prawdziwą wiadomość. Warto patrzeć nie tylko na domenę nadawcy, ale również na treść i kontekst wiadomości. Szczególną ostrożność powinny wzbudzać prośby o dane osobowe, dokumenty, hasła, kody czy wykonanie nietypowej operacji.

Jeśli mamy wątpliwości, najlepiej zweryfikować prośbę innym kanałem, korzystając z danych kontaktowych znalezionych samodzielnie na oficjalnej stronie danej instytucji.