Insidente ng Pagsisiwalat ng Data ng Revolut
Inilabas ng Revolut ang mga pagkakakilanlan ng mga customer at mga rekord ng pananalapi, kabilang ang mga kasaysayan ng transaksyon ng Bitcoin, matapos kumilos sa isang mapanlinlang na kahilingan na tila nagmula sa isang ahensya ng gobyerno. Ayon sa isang abiso ng customer ng Revolut na ibinahagi sa Telegram ng on-chain investigator na si ZachXBT, ang kahilingan ay nagmula sa isang hindi awtorisadong email account na gumamit ng domain ng isang opisyal na ahensya ng gobyerno.
“Dahil ang komunikasyon ay nagdala ng wastong mga kredensyal sa domain authentication, ito ay natugunan sa ilalim ng makatwirang paniniwala na ito ay isang tunay na kahilingan mula sa ahensya ng gobyerno,” sabi ng abiso.
Mga Detalye ng Pagsisiwalat
Ang abiso ay hindi nagbanggit ng pangalan ng ahensya o kung paano nakuha ng hindi awtorisadong nagpadala ang access sa kanilang email domain. Wala ring ibinigay na petsa para sa kahilingan o ang pagsisiwalat. Sinabi ni ZachXBT na maraming customer ang nakatanggap ng alert email noong Biyernes, Setyembre 11, ngunit ni siya o ang bahagi ng abiso na ipinakita sa kanyang post ay hindi nagbigay ng tiyak na bilang ng mga apektadong gumagamit.
Inilarawan ni ZachXBT ang insidente bilang malamang na limitado ang laki at sinabi na tila ito ay nakatuon sa mga gumagamit na may mataas na yaman. Ang abiso ng Revolut, tulad ng ipinakita sa screenshot, ay hindi nagkukumpirma ng laki ng apektadong grupo o kung paano napili ang mga customer.
Impormasyon na Naisiwalat
Inilista ng Revolut ang buong pangalan ng mga customer, mga petsa ng kapanganakan, at mga propesyon sa mga detalye ng pagkakakilanlan na ibinigay. Kasama sa impormasyon ng contact ang mga postal address, email address, at mga numero ng telepono. Ang kahilingan ay nagresulta rin sa pagsisiwalat ng mga kopya ng mga dokumento ng pagkakakilanlan, tulad ng mga pasaporte o lisensya sa pagmamaneho, kasama ang mga selfie na ibinigay ng mga customer para sa mga tseke ng pagkakakilanlan.
Ang mga account statement ay bumuo ng isa pang bahagi ng mga materyal na isinisiwalat. Ayon sa abiso, ang mga statement ay kasama ang mga IBAN, katayuan ng account, mga petsa ng pagbubukas ng account, at mga numero ng sanggunian ng Bitcoin wallet. Ang mga rekord ng withdrawal at buong kasaysayan ng transaksyon, kabilang ang mga transaksyon ng Bitcoin, ay ibinigay din.
Posibleng Kahihinatnan
Sinabi ng UK Information Commissioner’s Office na ang mga posibleng kahihinatnan ng isang paglabag sa personal na data ay kinabibilangan ng pagnanakaw ng pagkakakilanlan, pandaraya at pagkawala ng pinansyal. Ang kanilang gabay sa paglabag ay humihiling ng isang pagtatasa ng impormasyon na kasangkot at ang posibleng pinsala sa mga indibidwal; hindi nito itinatag na may sinuman na nagdusa ng mga kinalabasan na iyon sa insidente ng Revolut.
Para sa isang customer na ang dokumento ng pagkakakilanlan at mga rekord ng transaksyon ay parehong naisisiwalat, ang abiso ay nagpapahiwatig na ang tumanggap ay maaaring nakakuha ng detalyadong account ng mga pananalapi ng taong iyon.
Reaksyon at mga Hakbang ng Revolut
Sinabi rin ng gabay ng regulator na ang mga organisasyon ay dapat mag-ulat ng ilang paglabag sa personal na data sa loob ng 72 oras mula sa kanilang kaalaman tungkol dito, kung posible, at ipaalam ang mga indibidwal nang walang labis na pagkaantala kapag mataas ang panganib sa kanilang mga karapatan at kalayaan. Ang screenshot ay hindi nagsasaad kung ang Revolut ay nagbigay-alam sa isang regulator o kung kailan unang nalaman ng kumpanya ang tungkol sa hindi awtorisadong kahilingan.
Sa kanilang gabay sa seguridad sa U.S., sinasabi ng Revolut sa mga customer na gumamit ng in-app support chat upang suriin kung ang isang kahina-hinalang contact ay tunay. Sinabi ng kumpanya na hindi nito hihilingin sa mga customer na ibahagi ang mga verification o security codes sa telepono.
Pagpapalawak ng Serbisyo
Ang insidente ay naganap sa panahon ng pagpapalawak ng Revolut ng kanilang mga serbisyo sa pagbabangko at digital-asset. Noong Agosto 26, nagsimula ang kumpanya na nag-aalok ng kanilang euro-backed EURR stablecoin sa mga napiling customer sa Denmark, Poland, at Portugal, na may karagdagang availability sa Europa na nakaplano.
Ang iminungkahing pambansang bangko ay nangangailangan pa ng insurance sa deposito mula sa Federal Deposit Insurance Corporation, pag-apruba mula sa Federal Reserve, at panghuling awtorisasyon mula sa OCC bago ito makapagbukas.
