Pengungkapan Data Pelanggan oleh Revolut
Revolut telah mengungkapkan identitas pelanggan dan catatan keuangan, termasuk riwayat transaksi Bitcoin, setelah menanggapi permintaan penipuan yang tampaknya berasal dari lembaga pemerintah. Menurut pemberitahuan yang dibagikan oleh penyelidik on-chain ZachXBT di Telegram, permintaan tersebut datang dari akun email tidak sah yang menggunakan domain resmi lembaga pemerintah.
Detail Permintaan Penipuan
Pesan tersebut berhasil melewati pemeriksaan otentikasi domain, dan Revolut mengklaim bahwa mereka percaya permintaan itu asli saat memberikan informasi tersebut. Pemberitahuan itu tidak menyebutkan nama lembaga atau menjelaskan bagaimana pengirim yang tidak sah dapat mengakses domain email tersebut. Selain itu, pemberitahuan tersebut tidak mencantumkan tanggal permintaan atau pengungkapan informasi.
“Karena komunikasi tersebut membawa kredensial otentikasi domain yang valid, permintaan itu dipenuhi dengan keyakinan yang wajar bahwa itu adalah permintaan lembaga pemerintah yang autentik.”
Informasi yang Diungkapkan
Revolut menyatakan bahwa email tersebut tampaknya merupakan permintaan pemerintah yang sah karena dilengkapi dengan kredensial otentikasi domain yang valid. Pemberitahuan tersebut mencantumkan nama lengkap pelanggan, tanggal lahir, dan pekerjaan di antara detail identitas yang diberikan. Informasi kontak yang diungkapkan termasuk alamat pos, alamat email, dan nomor telepon.
Permintaan tersebut juga mengakibatkan pengungkapan salinan dokumen identitas, seperti paspor atau SIM, bersama dengan selfie yang disediakan pelanggan untuk pemeriksaan identitas. Revolut menegaskan bahwa gambar-gambar tersebut berbeda dari data telemetri wajah biometrik, yang tidak terlibat dalam insiden ini.
Risiko dan Konsekuensi
Kantor Komisioner Informasi Inggris menyatakan bahwa kemungkinan konsekuensi dari pelanggaran data pribadi termasuk pencurian identitas, penipuan, dan kerugian finansial. Panduan pelanggarannya meminta penilaian informasi yang terlibat dan kemungkinan kerugian bagi individu; tidak ada yang menetapkan bahwa siapa pun telah mengalami hasil tersebut dalam insiden Revolut.
Bagi pelanggan yang dokumen identitas dan catatan transaksinya diungkapkan, pemberitahuan tersebut menunjukkan bahwa penerima dapat memperoleh rincian lengkap tentang keuangan orang tersebut. Klaim ZachXBT tentang pengguna kaya yang menjadi target belum dikonfirmasi oleh Revolut dalam materi yang ditampilkan, dan tidak ada penyalahgunaan catatan yang didokumentasikan.
Langkah Selanjutnya dan Tindakan Keamanan
Pemberitahuan tersebut tidak menyatakan bahwa seorang penyusup telah memasuki sistem Revolut, mengakses akun pelanggan, atau menarik dana. Dalam panduan keamanan AS-nya, Revolut memberi tahu pelanggan untuk menggunakan obrolan dukungan dalam aplikasi untuk memeriksa apakah kontak yang mencurigakan itu asli. Perusahaan mengatakan tidak akan meminta pelanggan untuk membagikan kode verifikasi atau keamanan melalui telepon.
Insiden ini terjadi selama ekspansi layanan perbankan dan aset digital Revolut. Pada 26 Agustus, perusahaan mulai menawarkan stablecoin EURR yang didukung euro kepada pelanggan terpilih di Denmark, Polandia, dan Portugal, dengan ketersediaan lebih lanjut di Eropa yang direncanakan.
Untuk saat ini, Revolut menyediakan layanan perbankan pelanggan AS melalui Lead Bank, dan bank nasional yang diusulkan masih memerlukan asuransi simpanan dari Federal Deposit Insurance Corporation, persetujuan Federal Reserve, dan otorisasi akhir OCC sebelum dapat dibuka.
