Revolut передал данные клиентов по поддельному запросу госоргана

Revolut мог передать персональные данные клиентов мошенникам, которые выдали себя за государственный орган. Как сообщает Incrypted со ссылкой на расследование ZachXBT, злоумышленники отправили фальшивый запрос с настоящего домена ведомства, и письмо прошло проверки SPF, DKIM и DMARC. Для Revolut оно выглядело легитимным.

Под угрозой оказались имена, адреса, телефоны, документы, селфи для верификации, IBAN и полная история операций, включая сделки с биткоином. По версии ZachXBT, атака могла быть нацелена на состоятельных клиентов. Средства пользователей, по имеющимся данным, не пострадали.

Случай показывает, что техническая аутентификация отправителя не гарантирует законность запроса: подлинный домен ведомства ещё не подтверждает, что письмо составил именно госорган. Для криптопользователей риск усиливается тем, что в утечку попали данные верификации и транзакционная история — этого достаточно для целевого фишинга и попыток вывода средств.