Revolut, 가짜 정부 요청에 고객 데이터 유출 확인
Revolut confirms customer data breach through fake government requests
Revolut이 정부 기관 이메일 도메인을 사칭한 사기 요청으로 고객 정보를 유출했다고 확인했다. 유출된 데이터에는 생년월일, 주소, 연락처, 여권 및 운전면허증 사본 등 신분증과 셀피, 계좌 명세서, 거래 내역이 포함될 수 있다. Revolut은 소수 고객이 영향을 받았으며 해당 이메일을 차단하고 정부 기관과 수사 기관, 규제 당국에 통보했다고 밝혔다. 고객 자금과 시스템은 안전하다고 강조했다.
Revolut은 최근 불법 제3자가 합법적인 정부 기관 도메인 이메일을 이용해 허위 정보 요청을 제출한 정교한 외부 사칭 사기를 발견했다.
HN 토론
130- neither_color
Revolut 카드로 흥미로운 경험을 했어요. 여행할 때만 충전하고, 나머지 시간에는 3-4달러 정도만 남겨 거의 비어 있는 상태로 둡니다. 어느 순간부터 거래가 거절된다는 알림이 간간이 오기 시작했어요. 비디오 게임 포인트나 무작위 온라인 상점 같은 것들이었죠. 분명히 제 카드가 스키밍당했거나 다른 방식으로 유출된 겁니다. 아쉽네요.
다음 여행까지 몇 달 남아서 바로 카드를 취소하지 않고 호기심에 그냥 놔뒀어요. 시도된 모든 가맹점을 차단하기 시작했죠. 어느 순간 Netflix 구독 시도가 들어오기 시작했는데, 차단하려고 하니 "Netflix로의 결제는 차단할 수 없습니다. Netflix 구독이 있으시면 직접 취소하실 수 있습니다."라고 나오더군요. 그들의 백엔드가 어떤 종류의 루브 골드버그 기계를 돌리는지 궁금해집니다.
- hndhyc0bdt
한동안 수사기관 요청 데스크를 운영했는데, 전부 .gov 같은 이메일 주소에서 온 PDF였어요. 우리가 가진 유일한 실제 통제 수단은 레터헤드에 적힌 번호가 아니라 우리가 직접 찾은 번호로 기관에 다시 전화하는 것뿐이었습니다.
- rawland
어떻게 현대 핀테크에 이런 일이... 특히 신원 확인을 이렇게 형편없이 처리하다니?
> Revolut 대변인은 TechCrunch에 "제한된" 수의 고객이 영향을 받았다고 확인했으며 해당 고객들에게 직접 연락했다고 말했습니다. 그러나 Revolut은 영향을 받은 개인의 정확한 수를 공개하지 않았습니다. 또한 사건이 특정 시장에 국한된 것인지도 답하지 않았고 관련 정부 기관이 어디인지도 밝히기를 거부했습니다.
여기서 투명성 부족은 신상이 노출된 고액 자산가들을 보호하기 위한 것인지, 아니면 그냥 무능을 숨기려는 것인지?
- tdrz
그들의 상담원과 대화하면서 받은 답변 중 하나입니다 (사람인지 자동인지 불확실):
"귀하의 개인 데이터는 법에 따라 삭제가 허용될 때까지 보관되어야 합니다. 안심하세요, 완전히 안전하며 이 목적으로만 보관됩니다."
이건 제가 그들에게 기사를 보낸 같은 대화에서 나온 말이었어요.
- codedokode
이건 사람들이 기꺼이 여권과 셀카를 앱에 업로드하면 무슨 일이 일어나는지에 대한 경고입니다. 러시아 지하 포럼에 남고 싶지 않다면 하지 마세요.
- janandonly
신분증 데이터(예: 스캔한 여권)를 저장하는 것은 필요하지 않습니다. 문제는 "고객 신원을 확인했는가?"이고, 답이 예라면 그렇게 표시하면 됩니다. 이런 스캔본을 저장할 필요가 전혀 없습니다.
- autotune
얼마 전 Revolut 계정 접근 권한을 잃었는데, 주 이메일 주소와 MFA에 대한 접근을 잃은 후 복구가 작동하지 않았습니다. 또한 모바일 앱에서 수표 입금 기능도 제거했습니다. 이런 이유로 저는 그들의 4% APY 저축 계좌 금리를 정말 좋아하지만 더 이상 진짜 은행처럼 취급할 수 없습니다. 보조 이메일 주소로 복구 옵션이 있었던 gmail과는 다릅니다. 그들도 비슷한 것을 구현할 수 있었을 텐데요.
- hrpnk
트리거가 스푸핑되었다 해도, 정부가 데이터를 받을 안전한 채널을 제공하지 않는 이유는 뭘까요? 이것도 침해당한 건가요?