Revolut a confirmat o breșă de date, provocată printr-o impersonare guvernamentală falsă — 27 de clienți afectați și în România

Revolut a confirmat pe 12 septembrie o breșă de date provocată printr-o fraudă de impersonare neobișnuit de sofisticată: cineva s-a dat drept o agenție guvernamentală, folosind o adresă de e-mail de pe domeniul oficial și real al acelei instituții, ca să ceară de la Revolut date despre anumiți clienți. Fintech-ul a trimis informațiile, crezând că răspunde unei solicitări legale legitime.

Cum a funcționat frauda

Nu a fost un atac cibernetic clasic, cu breșă în servere — a fost o înșelătorie de tip social engineering la nivel instituțional. Atacatorul a reușit să obțină acces la o adresă de e-mail aparținând unei agenții guvernamentale reale (Revolut nu a precizat care) și a trimis, de pe acel domeniu autentic, o cerere de informații care părea perfect legitimă. Odată descoperită frauda, Revolut a blocat imediat adresa și a alertat atât agenția guvernamentală vizată, cât și autoritățile de aplicare a legii, de protecție a datelor și autoritățile financiare de reglementare.

Ce date au fost expuse

Pentru grupul restrâns de clienți afectați, datele trimise către impostor au inclus: nume, dată de naștere, adrese poștale și de e-mail, numere de telefon, copii ale actelor de identitate (pașapoarte, permise de conducere), selfie-uri de verificare a identității, extrase de cont și istoricul complet de tranzacții — inclusiv, pentru unii clienți, istoricul de tranzacții în criptomonede. Conturile și fondurile clienților nu au fost afectate — Revolut insistă că sistemele proprii nu au fost compromise, doar acest canal de răspuns la cereri „legale”.

Impactul în România

Incidentul a afectat un grup restrâns, de circa 680 de clienți la nivel global — dintre care 27 din România. Cifra pare mică, dar contează contextul: Revolut are peste 4,5 milioane de clienți în România, una dintre cele mai mari piețe ale companiei. Revolut a contactat direct persoanele afectate și oferă asistență prin canalele obișnuite.

Escaladare: amenințare de extorcare

Povestea nu s-a oprit la simpla confirmare a breșei. Pe canale de tip Telegram, persoane care pretind că dețin datele furate au început să publice documente de identitate și selfie-uri ale clienților afectați, amenințând că vor „elibera tot mai multe date, în fiecare zi, până când Revolut plătește”. Au circulat și mențiuni ale unei cereri de răscumpărare de 10.000 BTC — o sumă uriașă, echivalentă cu sute de milioane de dolari. Această cifră rămâne neconfirmată: nici Revolut, nici autoritățile nu au validat public identitatea atacatorilor sau vreo sumă concretă de răscumpărare — tratează-o ca pe o afirmație nesusținută a unui grup de amenințare, nu ca fapt stabilit.

Ce faci dacă ești client Revolut

• Dacă ai fost printre cei afectați, Revolut te-a contactat deja direct — nu ignora acel mesaj, dar verifică mereu că vine cu adevărat din aplicația sau canalele oficiale, nu dintr-un e-mail sau SMS suspect.
• Fii circumspect la orice contact neașteptat care menționează Revolut — atacatorii care au acte de identitate reale pot construi mesaje de phishing mult mai convingătoare decât de obicei.
• Monitorizează-ți contul pentru tranzacții neobișnuite, chiar dacă Revolut spune că fondurile nu au fost afectate direct de acest incident.
• Dacă ți s-au scurs copii ale actului de identitate, ia în calcul riscul de fraudă de identitate în alte servicii, nu doar la Revolut — un pașaport scanat poate fi folosit pentru a deschide conturi în alte locuri.

Concluzie

Cel mai neliniștitor aspect al acestui incident nu e volumul de date — relativ mic, comparat cu breșe de milioane de conturi — ci metoda: o companie financiară mare, cu procese de securitate presupus mature, a fost păcălită să trimită voluntar date sensibile, pentru că cererea venea de pe un domeniu de e-mail guvernamental autentic. E un memento că verificarea identității unei instituții care cere date nu se oprește la „adresa de e-mail pare corectă”.

Detaliile despre amenințarea de extorcare (inclusiv cifra de 10.000 BTC) provin din afirmații nesusținute ale unor persoane care pretind că dețin datele furate, publicate pe Telegram — nu sunt confirmate de Revolut sau de autorități. Actualizăm dacă apar clarificări oficiale.