Wyłudzili dane 680 użytkowników Revoluta. Wśród poszkodowanych Polacy
W najnowszym komunikacie Revolut potwierdził udostępnienie wrażliwych danych około 680 klientów cyberprzestępcom, którzy podszywali się pod włoskie służby państwowe. Choć same systemy bankowe i zgromadzone na kontach pieniądze nie zostały naruszone, w ręce wyłudzaczy trafiły m.in. skany paszportów, dowodów osobistych oraz historia transakcji. Wyjaśniamy, w jaki sposób doszło do pomyłki, kogo bezpośrednio dotyczy problem oraz jak uchronić się przed ewentualnymi próbami kradzieży tożsamości.
W skrócie:
- Oszuści podszyli się pod włoską policję pocztową, wysyłając fałszywe wnioski z legalnej skrzynki urzędowej we Włoszech.
- Sprawa dotyczy ściśle określonej grupy około 680 użytkowników z kilku krajów – na ujawnionej przez sprawców liście znajduje się również Polska.
- Pieniądze na rachunkach pozostały w pełni bezpieczne; wyciek objął dane weryfikacyjne (KYC), adresy, telefony i numery kont.
- Poszkodowani klienci zostali już bezpośrednio powiadomieni przez fintech i objęci dedykowanym wsparciem operacyjnym.
Spis treści
Cyfrowe instytucje finansowe przyzwyczaiły nas do zaawansowanych zabezpieczeń biometrycznych i algorytmów wykrywających podejrzaną aktywność w ułamku sekundy. Jak jednak pokazuje najnowszy incydent w Revolucie, nawet najbardziej rozwinięta technologia może zawieść w starciu z precyzyjnie zaplanowaną manipulacją. Brytyjski fintech przekazał dane kilkuset swoich użytkowników osobom trzecim, będąc przekonanym, że realizuje oficjalne polecenie europejskich organów ścigania.
Co kluczowe w tej sprawie, nie doszło do żadnego włamania do infrastruktury IT Revoluta, a depozyty klientów ani przez moment nie były bezpośrednio zagrożone. Przestępcy wykorzystali socjotechnikę wspartą przejęciem rządowego kanału komunikacji, co uniemożliwiło standardowym filtrom antyspamowym wykrycie oszustwa.
Jak oszuści przechytrzyli procedury weryfikacyjne banku?
Mechanizm ataku okazał się wyjątkowo wyrafinowany. Z ustaleń włoskiej agencji prasowej ANSA oraz prokuratury w Reggio Calabria wynika, że wiadomości z żądaniem ujawnienia danych spływały do Revoluta z autentycznej skrzynki instytucjonalnej powiązanej z włoską prefekturą. Nadawcy podawali się za funkcjonariuszy wyspecjalizowanej jednostki Polizia Postale, zajmującej się zwalczaniem cyberprzestępczości.
Ponieważ korespondencja wychodziła z oficjalnej domeny publicznej, fałszywe wnioski pomyślnie przeszły techniczną weryfikację nadawcy (w tym protokoły SPF i DKIM). Dla pracowników działu compliance Revoluta korespondencja wyglądała jak standardowy, w pełni legalny wniosek organu państwowego w ramach toczącego się śledztwa. Według wstępnych doniesień sprawcy wysyłali zapytania powiązane z konkretnymi identyfikatorami transakcji na rynku kryptowalut, domagając się profili przypisanych do nich użytkowników.
Fintech zorientował się w oszustwie dopiero po kolejnych, niestandardowych wnioskach. Gdy pracownicy nawiązali bezpośredni kontakt z włoską instytucją, ta kategorycznie zaprzeczyła wysyłaniu jakichkolwiek zapytań. Śledczy badają obecnie, czy doszło do przejęcia danych logowania urzędnika, czy włamania na lokalny serwer pocztowy.
Sprawdź: Co to jest scam i jak zabezpieczyć się przed cyberprzestępstwami w sieci?
Jakie dane trafiły do przestępców i co to oznacza?
W ręce oszustów trafiły pakiety danych, które standardowo przekazuje się podczas procedury zakładania konta bankowego (KYC). Zakres wycieku jest poważny pod kątem ochrony prywatności, ponieważ obejmuje:
- imiona, nazwiska i daty urodzenia,
- adresy zamieszkania oraz adresy e-mail,
- numery telefonów powiązane z profilem,
- pełne skany dokumentów tożsamości (dowodów osobistych, paszportów i praw jazdy),
- numery rachunków rozliczeniowych oraz wyciągi z historią operacji.
Ujawnienie takich informacji nie daje wprawdzie sprawcom możliwości bezpośredniego przelania pieniędzy z konta w Revolucie, ale stwarza realne ryzyko wyłudzeń kredytów, rejestracji kart SIM na cudze dane czy targetowanego phishingu. Posiadając historię wpłat i skan dowodu, cyberprzestępcy mogą przygotować uderzająco wiarygodne ataki socjotechniczne, podając się za doradców innych banków czy urzędników skarbowych.
Czy na liście poszkodowanych znaleźli się klienci z Polski?
Grupa cyberprzestępcza działająca pod nazwą „iamnotavillain”, która przyznała się do przeprowadzenia operacji, opublikowała listę państw pochodzenia ofiar – wśród nich znalazła się Polska. Równocześnie sprawcy podjęli próbę wymuszenia okupu w wysokości 3 milionów dolarów, grożąc sprzedażą pozyskanych pakietów w darknecie. Revolut zadeklarował, że nie prowadzi negocjacji z szantażystami i nie otrzymał bezpośredniego żądania finansowego.
Sam bank, powołując się na dobro trwającego śledztwa i tajemnicę bankową, nie doprecyzował publicznie, ilu dokładnie obywateli Polski dotknął ten proceder. Wiadomo jednak, że skala jest punktowa i ograniczona wyłącznie do powiadomionych użytkowników.
Przeczytaj: Jak nie dać się okraść z tożsamości, czyli 10 sposobów wyłudzania danych osobowych.
Jak zabezpieczyć swoją tożsamość? Praktyczne kroki
Jeżeli korzystasz z Revoluta lub jakichkolwiek usług bankowości mobilnej, warto wykorzystać tę sytuację do wdrożenia podstawowych nawyków podnoszących bezpieczeństwo:
- Aktywuj bezpłatne zastrzeżenie numeru PESEL – możesz to zrobić w minutę w rządowej aplikacji mObywatel. Od czerwca 2024 roku instytucje finansowe w Polsce mają prawny obowiązek sprawdzania rejestru przed udzieleniem kredytu czy otwarciem nowego rachunku; zastrzeżony PESEL blokuje próbę zaciągnięcia pożyczki na Twoje nazwisko.
- Uruchom Alerty BIK – powiadomienia SMS w czasie rzeczywistym natychmiast zaalarmują Cię, jeśli ktokolwiek spróbuje złożyć wniosek pożyczkowy z wykorzystaniem Twoich danych.
- Zachowaj czujność przy telefonach „z banku” – przestępcy dysponujący wyciekłymi danymi potrafią powołać się na historię Twoich autentycznych wpłat, by uwiarygodnić legendę o zagrożonych środkach. Pamiętaj, że pracownik banku nigdy nie prosi o instalację aplikacji do zdalnego pulpitu (np. AnyDesk) ani o przekazanie kodów autoryzacyjnych.
Osoby, które otrzymały bezpośredni alert od Revoluta, powinny bezwzględnie wymienić dokument tożsamości, którego skan znajdował się w systemie w momencie weryfikacji, zgłaszając fakt utraty jego poufności w urzędzie gminy lub przez profil zaufany.
Warto wiedzieć: Kradzież pieniędzy z konta bankowego – czy bank odda utracone pieniądze?
Oficjalne źródło informacji: Komunikat prasowy Revolut, ustalenia agencji prasowej ANSA oraz oświadczenie Prokuratury w Reggio Calabria/ Bankier
