Revolut Avslöjar Kundinformation
Revolut har avslöjat kunders identiteter och finansiella uppgifter, inklusive Bitcoin-transaktionshistorik, efter att ha agerat på en bedräglig begäran som verkade komma från en myndighet. Enligt en kundnotis från Revolut, som delades på Telegram av on-chain-utredaren ZachXBT, kom begäran från ett obehörigt e-postkonto som använde en officiell myndighetsdomän.
Bedräglig Begäran
Meddelandet passerade domänautentiseringstester, och Revolut uppgav att de trodde att begäran var äkta när de tillhandahöll informationen. Notisen namnger inte myndigheten eller förklarar hur den obehöriga avsändaren fick tillgång till sin e-postdomän. Den anger inte heller något datum för begäran eller avslöjandet.
”Eftersom kommunikationen hade giltiga domänautentiseringsuppgifter, uppfylldes den under den rimliga uppfattningen att det var en autentisk begäran från en myndighet,” stod det i notisen.
Upplysningar om Kunder
Revolut listade kundernas fullständiga namn, födelsedatum och yrken bland de identitetsuppgifter som tillhandahölls. Kontaktinformation inkluderade postadresser, e-postadresser och telefonnummer. Begäran resulterade också i avslöjandet av kopior av identitetsdokument, såsom pass eller körkort, tillsammans med selfies som kunderna tillhandahöll för identitetskontroller.
Revolut drog en åtskillnad mellan dessa bilder och biometriska ansiktsdata, som de sa inte var involverade. Kontoutdrag utgjorde en annan del av det avslöjade materialet, inklusive IBAN-nummer, kontostatus, datum för kontöppning och referensnummer för Bitcoin-plånböcker.
Konsekvenser av Avslöjandet
Det brittiska informationskommissionärens kontor säger att de möjliga konsekvenserna av ett personuppgiftsbrott inkluderar identitetsstöld, bedrägeri och ekonomisk förlust. Deras vägledning vid brott uppmanar till en bedömning av den involverade informationen och den sannolika skadan för individer.
För en kund vars identitetsdokument och transaktionsregister båda avslöjades, indikerar notisen att mottagaren kan ha fått en detaljerad redogörelse för den personens ekonomi. ZachXBT:s påstående om att rika användare har blivit måltavlor har inte bekräftats av Revolut i det visade materialet.
Reglering och Säkerhet
Reglerarens vägledning säger också att organisationer måste rapportera vissa personuppgiftsbrott inom 72 timmar efter att de blivit medvetna om dem. Skärmdumpen säger inte om Revolut har meddelat en regulator eller när företaget först fick kännedom om den obehöriga begäran.
I sin amerikanska säkerhetsvägledning uppmanar Revolut kunder att använda in-app supportchatt för att kontrollera om en misstänkt kontakt är äkta. Företaget säger att de inte kommer att be kunder att dela verifierings- eller säkerhetskoder över telefon.
Framtida Utsikter
Händelsen inträffar under Revoluts expansion av sina bank- och digitala tillgångstjänster. Den 26 augusti började företaget erbjuda sin euro-backade EURR-stablecoin till utvalda kunder i Danmark, Polen och Portugal, med ytterligare europeisk tillgänglighet planerad.
Den föreslagna banken i Stamford, Connecticut, skulle få cirka 95 miljoner dollar i initialt kapital och kan öppna 2027 om den får de återstående godkännandena. För tillfället tillhandahåller Revolut amerikanska kundbanktjänster genom Lead Bank.
