Wyciek danych w Revolut. Co się stało i za co bank chce zwrócić klientom pieniądze?

Revolut zapowiedział pokrycie kosztów wymiany dokumentów tożsamości klientów dotkniętych incydentem, w którym oszuści podszyli się pod włoską instytucję państwową i wyłudzili dane 680 osób. Bank podkreśla, że nie doszło do włamania do jego wewnętrznych systemów. Sprawa pokazuje, że nawet dobrze zabezpieczona infrastruktura może zostać zaatakowana przez manipulowanie ludźmi i procedurami.

Według Reutersa przestępcy użyli podszytego adresu poczty elektronicznej należącego rzekomo do włoskiej agencji rządowej i skłonili pracowników do ujawnienia danych 680 klientów. Revolut twierdzi, że jego systemy informatyczne nie zostały przełamane. Mechanizm przypomina więc atak socjotechniczny: napastnik nie łamie zabezpieczeń technicznych, lecz przekonuje pracownika, że ma do czynienia z prawdziwym, uprawnionym żądaniem.

Wśród osób objętych incydentem znalazło się 55 klientów we Francji. Revolut zapowiedział, że pokryje koszty wymiany dokumentów tożsamości, jeśli będzie ona potrzebna. Jednocześnie bank nie zamierza płacić okupu. Włoskie władze krytykowały sposób weryfikacji żądania, wskazując na potrzebę podstawowych kontroli autentyczności.

Sama utrata danych nie musi oznaczać natychmiastowej kradzieży pieniędzy. Problem polega na tym, że informacje identyfikacyjne mogą być później użyte w kolejnych oszustwach: do przekonujących wiadomości phishingowych, prób przejęcia kont, zakładania usług na cudze dane albo podszywania się pod instytucje finansowe. Im więcej prawdziwych danych zna oszust, tym wiarygodniej może wyglądać następny kontakt.

Klient, który otrzyma informację o objęciu incydentem, powinien przede wszystkim stosować się do indywidualnych zaleceń banku, nie klikać w linki z niespodziewanych wiadomości i samodzielnie otwierać aplikację, zamiast logować się z przesłanych odnośników. W razie zaleconej wymiany dokumentu warto również kontrolować próby zakładania zobowiązań na własne dane.

Incydent pokazuje różnicę między bezpieczeństwem systemu a bezpieczeństwem całej organizacji. Firma może mieć silne zabezpieczenia sieciowe, a mimo to ujawnić dane, jeśli proces obsługi żądań organów publicznych nie przewiduje niezależnej weryfikacji. Dlatego coraz więcej ataków łączy technologię z presją psychologiczną, fałszywą tożsamością i imitowaniem normalnych procedur biznesowych. Dla banków oznacza to konieczność stosowania zasady podwójnej kontroli przy nietypowych żądaniach o dane, zwłaszcza gdy dotyczą wielu klientów. Równie ważne są szkolenia pracowników oraz techniczne kanały potwierdzania, czy wiadomość rzeczywiście pochodzi od uprawnionego organu. Bez takich procedur najsłabszym ogniwem może stać się nie system informatyczny, ale poprawnie działający proces, który został przekonująco podrobiony przez napastnika. Przy żądaniach dotyczących większej liczby klientów bank powinien stosować dodatkowy kanał potwierdzenia, niezależny od wiadomości, która uruchomiła procedurę. Takie rozdzielenie decyzji utrudnia oszustowi wykorzystanie jednego fałszywego kontaktu do uzyskania szerokiego dostępu do danych i ogranicza ryzyko błędu pojedynczego pracownika.