Фінтех-гігант Revolut зіткнувся з шантажем: хакери вимагають 10 000 BTC (приблизно $780 млн за поточним курсом) за повернення та нерозголошення викрадених даних. Скандал розгортається після нещодавнього інциденту безпеки, який зачепив персональні дані користувачів.
Протягом вихідних зловмисники почали публікувати в мережі витяги з баз даних, включно з інформацією про відомих клієнтів, серед яких тенісист Олександр Шевченко та Фелікс Ремер, CEO криптоказино Gamdom. Шахраї погрожують щодня оприлюднювати нові порції даних, доки компанія не задовольнить їхні фінансові вимоги.
Як стався витік: людський фактор замість зламу систем
На відміну від класичних хакерських атак із проникненням у сервери чи дешифруванням баз даних, цей інцидент стався через прорив у процедурах верифікації.
За офіційними даними, компанія стала жертвою витонченої схеми соціальної інженерії. Зловмисники надіслали запити на отримання інформації з електронної адреси, яка належала реальному домену державного органу. Оскільки технічні параметри листа виглядали легітимно, служба комплаєнсу сприйняла запит за офіційну вимогу правоохоронців і передала дані.
Унаслідок цього до рук третіх осіб потрапили чутливі масиви інформації обмеженої кількості користувачів:
- копії паспортів, водійських прав та селфі для верифікації;
- номери телефонів, електронні та поштові адреси, дати народження;
- банківські виписки, IBAN та повна історія транзакцій, включно з операціями з криптовалютою та біткоїнами.
Блокчейн-дослідники зазначають, що особливий інтерес для шахраїв становили акаунти заможних криптоінвесторів, чиї детальні історії транзакцій опинилися у відкритому доступі.
Наслідки для ринку та ризики для користувачів
Ситуація б'є по репутації необанку в критичний момент: зараз компанія розглядає можливість виходу на IPO з оцінкою близько $200 млрд (під час останнього приватного раунду її оцінювали у $75 млрд). Подібні інциденти привертають увагу регуляторів та інвесторів до систем внутрішнього контролю.
Для українців, які активно користуються сервісом у країнах Європейського Союзу, цей кейс створює підвищені ризики. Оскільки шахраї вже володіють реабілітованими документами, сканами та контактними даними, зростає загроза цілеспрямованого фішингу та соціальної інженерії. Представники служби безпеки радять ігнорувати будь-які неочікувані дзвінки, SMS чи повідомлення в месенджерах нібито від служби підтримки Revolut з вимогою «верифікувати акаунт» або «захистити кошти».
Сам Revolut повідомив про інцидент профільні регуляторні органи, поліцію та постраждалих клієнтів, заблокувавши компрометоване джерело запитів. Експерти наголошують, що факт висування шантажистами мільйонних вимог у біткоїнах ще не гарантує повноти контролю нападників над усією масою заявлених даних, проте вимагає від компанії повної ревізії регламентів обробки запитів від держструктур.
🖋 UAFF — будь в курсі арбітражних інсайтів