Ngân hàng số Revolut gặp sự cố rò rỉ dữ liệu nhạy cảm của khách hàng

Revolut làm lộ hộ chiếu, ảnh selfie và lịch sử giao dịch của khách hàng do email giả mạo chính phủ.

Revolut xác nhận một số dữ liệu nhạy cảm của khách hàng đã bị cung cấp cho một bên thứ ba không được phép sau khi công ty nhận được các yêu cầu cung cấp thông tin được gửi từ một tên miền email chính thức của cơ quan chính phủ. Các yêu cầu này đã vượt qua quy trình xác thực của Revolut trước khi được phát hiện là giả mạo.

Theo thông tin được công bố, dữ liệu bị ảnh hưởng có thể bao gồm nhiều thông tin cá nhân và tài chính quan trọng như họ tên, ngày sinh, địa chỉ, địa chỉ email, số điện thoại, bản sao hộ chiếu hoặc bằng lái xe, ảnh selfie được sử dụng trong quá trình xác minh danh tính, sao kê tài khoản, số IBAN, lịch sử rút tiền và lịch sử giao dịch đầy đủ. Đáng chú ý, dữ liệu giao dịch bị ảnh hưởng có thể bao gồm cả các giao dịch Bitcoin của khách hàng.

Revolut mô tả sự cố là một vụ “mạo danh bên ngoài tinh vi”, trong đó kẻ tấn công lợi dụng danh tính và tên miền email của một cơ quan chính phủ để gửi các yêu cầu có vẻ hợp lệ. Việc những yêu cầu này vượt qua bước xác thực cho thấy phương thức tấn công không nhằm trực tiếp vào hệ thống của Revolut mà tập trung vào quy trình xử lý yêu cầu cung cấp dữ liệu và khả năng giả mạo danh tính của bên yêu cầu.

Sau khi phát hiện bất thường, Revolut đã chặn địa chỉ email liên quan và thông báo cho cơ quan chính phủ có tên miền bị lợi dụng. Công ty đồng thời cho biết đã báo cáo vụ việc tới các cơ quan thực thi pháp luật, cơ quan bảo vệ dữ liệu và các cơ quan quản lý tài chính có liên quan để phục vụ quá trình điều tra.

Revolut nhấn mạnh rằng hệ thống của công ty không bị xâm nhập trực tiếp trong sự cố này và tiền của khách hàng không bị ảnh hưởng. Công ty cũng cho biết chỉ một số lượng khách hàng hạn chế bị tác động, nhưng chưa công bố con số cụ thể cũng như toàn bộ phạm vi dữ liệu đã được cung cấp cho bên thứ ba.

Vụ việc càng đáng chú ý khi Revolut là một nền tảng tài chính được nhiều người dùng sử dụng cho cả các giao dịch tiền pháp định và hoạt động liên quan đến crypto. Với người dùng Bitcoin và các tài sản kỹ thuật số khác, việc thông tin KYC bị kết hợp với địa chỉ cư trú, thông tin tài khoản và lịch sử giao dịch có thể tạo ra rủi ro lớn hơn so với việc chỉ để lộ một số thông tin cá nhân thông thường.

Cụ thể, nếu danh tính của một người có thể được liên kết trực tiếp với lịch sử giao dịch Bitcoin và các thông tin tài chính khác, kẻ xấu có thể có thêm dữ liệu để xác định người sở hữu tài sản cũng như quy mô tài chính tương đối của họ. Những thông tin này sau đó có thể trở thành cơ sở cho các chiến dịch phishing, giả mạo danh tính hoặc những cuộc tấn công được nhắm mục tiêu riêng vào từng cá nhân. Tuy nhiên, việc dữ liệu bị lộ có trực tiếp dẫn đến bất kỳ cuộc tấn công nào như vậy hay chưa vẫn chưa được xác nhận.

Điều tra viên on-chain ZachXBT nhận định vụ việc dường như có quy mô tương đối nhỏ và có khả năng tập trung vào những khách hàng sở hữu lượng tài sản lớn. Dù vậy, đây mới là đánh giá của ZachXBT và chưa được Revolut xác nhận chính thức.