Revolut подтвердил утечку данных части клиентов из-за поддельных запросов с домена госведомства

Финтех-сервис Revolut подтвердил утечку конфиденциальной информации «ограниченного числа» клиентов. По данным TechCrunch, компания описала произошедшее как «сложное внешнее мошенничество с выдачей себя за другое лицо»: злоумышленники отправили поддельные запросы с настоящего почтового домена государственного ведомства. Об этом сообщает vc.ru со ссылкой на Bloomberg и TechCrunch.

Инцидент важен тем, что атака была построена не на взломе инфраструктуры, а на злоупотреблении доверием к официальному домену госоргана. При этом Revolut не раскрыл страну, в которой произошёл инцидент, и не назвал конкретное ведомство, чей почтовый домен использовали мошенники.

Что именно могло попасть в руки злоумышленников

По данным компании, в результате утечки могли быть раскрыты:

• даты рождения;
• почтовые и электронные адреса;
• номера телефонов;
• копии документов пользователей;
• выписки по счетам;
• история транзакций;
• селфи для верификации.

Это типовой набор данных, который финтех-сервисы собирают при прохождении процедур идентификации клиентов. Именно поэтому утечка такого состава считается чувствительной: перечисленные сведения могут использоваться для дальнейших попыток мошенничества от имени клиента.

Что Revolut говорит о последствиях

Компания заявила, что средства клиентов и внутренние системы не были затронуты. Это означает, что речь идёт о компрометации данных, а не о несанкционированном доступе к счетам или инфраструктуре сервиса.

Revolut также сообщил, что уведомил об инциденте правоохранительные органы, регуляторов и пострадавших пользователей. Точное количество пострадавших клиентов компания не назвала.

Контекст

Схема, описанная Revolut, относится к социальной инженерии: мошенники не подделывали адрес отправителя, а использовали реальный домен государственного ведомства. Такой подход повышает правдоподобность запроса и усложняет его фильтрацию на стороне получателя.

Публичных данных о том, в какой стране произошёл инцидент, какое ведомство задействовано и сколько именно клиентов пострадало, в сообщении нет. Компания эти детали не раскрыла.

Что это значит

Revolut подтвердил факт утечки и её примерный состав, а также заявил об уведомлении регуляторов, правоохранительных органов и пострадавших. При этом ключевые детали — страна, ведомство и число пострадавших — остаются нераскрытыми. Для клиентов сервиса практический вывод ограничен тем, что компания уже начала рассылку уведомлений: если пользователь её не получил, публичных оснований считать его данные скомпрометированными из этого сообщения не следует.