Revolut сам отправил мошенникам документы клиентов и их финансовую историю. Получателю достались сведения, которые банк собирал для проверки личности и контроля операций. Среди них оказались копии удостоверений и верификационные селфи. Компания, созданная предпринимателями Николаем Сторонским, выходцем из России, и украинцем Владиславом Яценко, подтвердила раскрытие 12 сентября. Для выдачи досье хватило поддельного запроса от имени государственного ведомства.

У письма были действительные признаки аутентификации настоящего государственного домена. Revolut принял запрос за подлинный и исполнил его. Проверка происхождения сообщения закончилась передачей банковской тайны человеку, не имевшему права её получать. Название ведомства и способ доступа к его почте компания не раскрывает. Известный результат уже позволяет отделить ответственность банка: разрешение на выгрузку клиентских документов было дано внутри Revolut.

Государственная почта давно используется для подобных атак. В ноябре 2024 года ФБР предупредило бизнес о мошеннических срочных запросах через скомпрометированные адреса ведомств. Преступники торговали доступом к таким ящикам и ссылались на чрезвычайные обстоятельства, рассчитывая избежать тщательной проверки. ФБР рекомендовало проверять правовое основание запроса и подтверждать его через соответствующий орган. Revolut столкнулся с известным классом угроз, в котором доверенный адрес помогает постороннему присвоить полномочия чиновника.

Ценность переданного архива складывается из связей между сведениями. Паспорт сопоставляет имя с внешностью, адрес указывает, где человек живёт. Профессия и история движения денег позволяют оценивать его финансовое положение. IBAN и записи конкретных переводов помогают убедительно изображать сотрудника банка. Мошенник может назвать действительные суммы и операции, превращая привычный для клиента признак осведомлённости в средство обмана.

Revolut заявил, что пароли и данные входа не пострадали, средства клиентов сохранились. Банк сообщил о блокировке отправителя и уведомлении правоохранительных органов и регуляторов. При этом клиентское письмо исключает из утечки только биометрические параметры распознавания лица, отдельно подтверждая передачу самого селфи. Цифровой шаблон для проверки остался защищённым, фотография вместе с документами ушла постороннему. Состояние банковского счёта не измеряет ущерб от раскрытия личности.

Сведения об операциях с биткоином добавляют возможность наблюдать за частью финансов клиента за пределами Revolut. История публичных адресов сохраняется в блокчейне. Записи о вводе и выводе криптовалюты способны связать отдельные операции с паспортным именем и домашним адресом. В деле, завершившемся обвинительным вердиктом в США в 2024 году, преступники предварительно собирали сведения о владельцах криптовалют, а затем врывались в их дома и принуждали переводить активы. Последствия такой идентификации могут включать вымогательство вне банковского приложения. Нынешняя утечка Revolut создаёт условия для подобных угроз, даже когда пароль счёта остаётся неизвестным преступнику.

Закрытие счёта тоже не изымает досье из чужих рук. Европейская политика Revolut предусматривает обычное хранение данных до 10 лет после прекращения обслуживания, и клиент доверяет банку архив гораздо дольше, чем пользуется картой. Уже выданную копию невозможно обезвредить блокировкой адреса отправителя. Теперь сведения, собранные ради финансовой безопасности, могут помочь выбрать цель и обратиться к ней за пределами контроля Revolut. Убыток способен возникнуть в другом банке или личном кошельке, пока сам Revolut продолжит констатировать сохранность денег на своих счетах.

@ex_trakt