Revolut раскрыл данные клиентов в ответ на поддельные запросы от имени госоргана
Revolut confirms customer data breach through fake government requests
Revolut подтвердила, что передала конфиденциальные данные клиентов третьей стороне после получения мошеннических запросов с легитимного домена государственного ведомства. Среди утечек — имена, даты рождения, адреса, телефоны, копии паспортов и водительских прав, а также селфи для верификации и выписки по счетам. Компания заявляет, что затронуто ограниченное число клиентов, но точное количество и конкретное ведомство не раскрывает. Инцидент произошел на фоне подготовки Revolut к возможному IPO с оценкой до $200 млрд.
Revolut недавно выявила изощренную внешнюю мошенническую схему, в которой неавторизованная третья сторона использовала легитимный домен государственного ведомства для отправки поддельных запросов на предоставление информации.
- neither_color
У меня был интересный опыт с моей картой Revolut. Я пополняю её только когда путешествую, а всё остальное время она лежит почти пустая, долларов 3-4. В какой-то момент я начал получать периодические уведомления об отклонённых транзакциях. Всякие там игровые очки и случайные мелкие интернет-магазины. Ясно, что мою карту скиммингнули или как-то ещё утекли данные. Облом.
Поскольку до следующей поездки ещё месяцы, я не стал сразу отменять карту и просто оставил её включённой из любопытства. Я начал блокировать каждого пытавшегося списать мерчанта. В какой-то момент начали приходить попытки подписки на Netflix, и когда я попытался её заблокировать, мне сказали: «Мы не можем блокировать платежи в Netflix. Если у вас есть подписка у них, вы можете отменить её напрямую.» Интересно, на какой машине Руба Голдберга работает их бэкенд.
- hndhyc0bdt
Какое-то время я руководил службой запросов от правоохранительных органов, и всё это были PDF-файлы с адресов электронной почты, похожих на .gov. Единственным реальным контролем было перезвонить в агентство по номеру, который мы сами находили, а не по тому, что был на бланке.
- rawland
Как такое может случиться с современным финтехом... Особенно так плохо обрабатывать верификацию личности?
> Представитель Revolut подтвердил TechCrunch, что пострадало «ограниченное» число клиентов, и сказал, что компания связалась с этими клиентами напрямую. Revolut, однако, не раскрыл точное число пострадавших. Он также не ответил, ограничен ли инцидент конкретным рынком, и отказался раскрыть, какое государственное ведомство было замешано.
Это отсутствие прозрачности связано с защитой деанонимизированных состоятельных людей или они просто пытаются скрыть некомпетентность?
- tdrz
Вот один из ответов, которые я получил во время разговора с их агентом (не уверен, человек это или автоматика):
«Ваши персональные данные должны храниться до тех пор, пока их удаление не станет допустимым в соответствии с законом. Будьте уверены, они полностью защищены и хранятся только для этой цели.»
Это было в том же разговоре, где я отправил им статью.
- codedokode
Это напоминание о том, что происходит с людьми, которые радостно загружают свой паспорт и селфи в приложение. Не делайте этого, если не хотите оказаться на российских подпольных форумах.
- janandonly
Хранить идентификационные данные (например, отсканированный паспорт) не обязательно. Вопрос в том: «проверили ли вы личность клиента?» И если ответ «да», то вы можете просто это отметить. Вам вообще не нужно хранить эти сканы.
- autotune
Я потерял доступ к своему аккаунту Revolut некоторое время назад, и восстановление не сработало после потери доступа к моей основной электронной почте и MFA. Они также убрали возможность вносить чеки через мобильное приложение. По этим причинам я больше не могу относиться к ним как к настоящему банку, как бы мне ни нравилась их ставка по сберегательному счёту 4% APY. В отличие от gmail, где были варианты восстановления с помощью дополнительного адреса электронной почты. Они могли бы реализовать что-то подобное.
- hrpnk
Даже если триггер был поддельным, почему нет защищённого канала, который правительство предоставляет для получения данных? Он тоже был скомпрометирован?