Fintech bendrovė „Revolut“ atskleidė itin jautrią asmeninę ir finansinę informaciją apie tam tikrus klientus, gavusi tai, kas atrodė kaip autentiškas vyriausybės prašymas. Apie tai anksčiau šiandien pranešė „on-chain“ tyrėjas ZachXBT.
Bendrovė išsiuntė el. laiškus paveiktiems vartotojams, pripažindama, kad atskleisti duomenys apėmė pasus, patvirtinimo asmenukes, adresus ir visą Bitcoin operacijų istoriją.
Ką atskleidė
El. laiške, išsiųstame klientams ir ZachXBT atskleistame jo „Telegram“ paskyroje, „Revolut“ paaiškino, kad gavo informacijos prašymą, kuris, atrodė, kilo iš teisėtos vyriausybės agentūros. Siuntėjas neapsimetinėjo oficialiu adresu. Bendrovė pridūrė, kad prašymas gautas iš neįgaliotos el. pašto paskyros, naudojant faktinį vyriausybės agentūros el. pašto domeną, ir turėjo galiojančius domeno autentifikavimo duomenis.
„Revolut“ patenkino prašymą, manydama, kad jis yra teisėtas. Atskleista informacija galėjo apimti tam tikrų klientų vardus, pavardes, gimimo datas, profesijas, namų adresus, el. pašto adresus ir telefono numerius. Jautresnė medžiaga apėmė pasų ir (arba) vairuotojo pažymėjimų kopijas bei asmenukes, kurias klientai pateikė tikrinimo proceso metu. Bendrovės teigimu, gera žinia ta, kad biometriniai veido duomenys nebuvo pažeisti.
Tačiau bendrovė teigė, kad pateikė finansinę informaciją, įskaitant sąskaitų išrašus su IBAN, sąskaitų atidarymo datas ir piniginių adresų identifikavimo numerius, taip pat išėmimo įrašus ir visą operacijų istoriją, įskaitant BTC operacijas.
Iki šiol „Revolut“ viešai nenurodė dalyvaujančios vyriausybės agentūros, o klientams išsiųstame pranešime nenurodoma, ar buvo pasiekiami slaptažodžiai, privatūs raktai ar jų lėšos.
Nukreipta prieš turtinguosius?
„On-chain“ tyrėjas apibūdino incidentą kaip „tikriausiai riboto masto“, nes atrodo, kad nusikaltėliai sutelkė dėmesį tik į turtingus vartotojus. Tačiau tai nebuvo nepriklausomai ar pačios „Revolut“ patvirtinta. Be to, bendrovė nenurodė paveiktų klientų skaičiaus.
Remiantis tuo metu turima informacija, incidentas atrodo kaip neleistinas atskleidimas, o ne tiesioginis „Revolut“ infrastruktūros pažeidimas. Pati bendrovė nurodo vyriausybės ir teisėsaugos institucijoms teikti oficialius informacijos prašymus per specialų kanalą.
