Revolut передал данные клиентов по поддельному запросу от имени госструктуры

Об этом сообщил блокчейн-исследователь ZachXBT.

Как выяснил исследователь, запрос пришел с неавторизованного адреса, но использовал настоящий домен госструктуры и прошел проверку подлинности. Из-за этого в Revolut приняли его за настоящий и предоставили запрошенную информацию. Позже компания связалась с ведомством и выяснила, что запрос отправил человек, который не имел на это права. Revolut не раскрыл ни название ведомства, ни страну, от имени которой был отправлен запрос.

В результате постороннему лицу передали имена клиентов, даты рождения, профессии, домашние и электронные адреса и номера телефонов. Среди раскрытой информации также были копии паспортов или водительских удостоверений, фотографии для подтверждения личности, банковские выписки, IBAN, сведения о снятии денег и полная история транзакций, включая операции с биткоином.

После обнаружения инцидента Revolut заблокировал использованный адрес, сообщил о случившемся властям и регуляторам и начал уведомлять пострадавших клиентов. В компании заявили, что пароли, коды доступа и биометрические данные для распознавания лица раскрыты не были.

По словам ZachXBT, инцидент затронул ограниченное число клиентов и, предположительно, был направлен на состоятельных пользователей. Точное число людей, чьи данные были переданы, Revolut не назвал.

Фото: Investigations by ZachXBT