TheBlock
Revolut revelou dados sensíveis de KYC e transações de clientes a terceiros não autorizados, que submeteram pedidos fraudulentos de registos a partir de um domínio de email legítimo de uma agência governamental, disse a empresa à TechCrunch e ao The Block durante o fim de semana. Os dados expostos podem incluir nomes, datas de nascimento, moradas e endereços de email, números de telefone, documentos de identidade, selfies de verificação, extratos de conta, IBANs e históricos completos de transações, incluindo transações em Bitcoin. A Revolut descreveu o ataque como um "esquema sofisticado de personificação externa", afirmou que os fundos dos clientes e os sistemas principais não foram afetados, e recusou divulgar quantos utilizadores foram atingidos ou que domínio governamental foi usado.
Porque é relevante
A violação atinge a camada mais sensível da stack de conformidade de uma fintech: não a contabilidade, mas os documentos que comprovam a identidade do cliente. O investigador onchain ZachXBT notou que o padrão de targeting sugere utilizadores de elevado património, levantando a possibilidade de que selfies roubadas, documentos de identidade e históricos completos de transações possam alimentar tentativas de engenharia social ou de tomada de contas sobre clientes da Revolut. A empresa notificou as autoridades de proteção de dados, as forças de segurança e a agência governamental cujo domínio foi falsificado, mas o vetor de ataque em si, um domínio de contraparte confiável explorado através de pedidos fraudulentos, espelha um incidente separado esta semana em que atacantes abusaram de um fornecedor de email externo ligado à Trezor.
Impacto no mercado
A Revolut está no meio de um esforço multi-frente nos EUA e na UE que coloca a violação sob uma supervisão regulatória invulgarmente intensa. A fintech britânica recebeu aprovação condicional do Office of the Comptroller of the Currency no início deste mês para estabelecer um banco nacional, com planos para oferecer banca tradicional em conjunto com serviços de stablecoins, e está a lançar a sua stablecoin EURR indexada ao euro em todo o EEE. Uma falha de verificação de contrapartes envolvendo KYC completos e históricos de transações em Bitcoin surgirá provavelmente em todas as conversas de examinadores de licenças bancárias nos EUA sobre os controlos de onboarding da Revolut.
Perguntas frequentes
-
Que dados de clientes expôs a Revolut na violação?
A violação pode ter exposto nomes, datas de nascimento, moradas e endereços de email, números de telefone, documentos de identidade incluindo passaportes e cartas de condução, selfies de verificação, extratos de conta, IBANs e históricos completos de transações, incluindo transações em Bitcoin.
-
Os fundos dos clientes da Revolut foram afetados pela violação?
Não. A Revolut afirmou que os fundos dos clientes e os sistemas principais não foram afetados. A empresa descreveu o incidente como um "esquema sofisticado de personificação externa" e disse ter bloqueado o endereço de email após identificá-lo.
-
Como acederam os atacantes aos registos de clientes da Revolut?
Um terceiro não autorizado submeteu pedidos fraudulentos de registos a partir de um domínio de email legítimo de uma agência governamental. A Revolut divulgou as informações sensíveis em resposta e depois bloqueou o endereço de email após identificar a personificação.
-
Quantos clientes da Revolut foram afetados pela violação?
A Revolut recusou divulgar o número, indicando apenas que um número limitado de clientes foi afetado. Alguns começaram a receber emails de notificação na sexta-feira, e o ex-CEO da Mt. Gox Mark Karpelès disse estar entre eles.
-
Como se compara a violação da Revolut com outros incidentes recentes em fintech cripto?
A Revolut junta-se a uma lista crescente que inclui a violação ShipMonk da Trezor com cerca de 67.000 clientes e a fuga de dados de rastreio de encomendas da SafePal com cerca de 39.798 clientes. A Trezor também divulgou esta semana um incidente separado de phishing por domínio falsificado que espelha o vetor de…
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
CoinDesk
CryptoSlate