Данные о транзакциях в BTC и паспортные данные оказались скомпрометированы, так как Revolut принял мошеннический запрос за подлинный

На этой неделе через системы безопасности цифрового банковского гиганта Revolut прошло поддельное электронное письмо, якобы отправленное от имени государственного органа. В результате произошла утечка данных широкого круга клиентов, включая их домашние адреса, документы, удостоверяющие личность, и историю транзакций с биткоинами.

Запрос выглядел как официальное обращение от государственного ведомства и содержал реквизиты, прошедшие проверку в Revolut. Компания предоставила затребованную информацию, но позже, связавшись с ведомством напрямую, выяснила, что запрос был мошенническим - об этом говорится в уведомлениях, отправленных пострадавшим пользователям.

Сообщается, что среди переданных данных были копии паспортов или водительских удостоверений, селфи для верификации личности, имена, даты рождения, сведения о роде занятий, домашние адреса, адреса электронной почты, номера телефонов, номера IBAN, выписки по счетам, записи о выводе средств и полная история транзакций, включая все операции с биткоинами.

Revolut пока не раскрыла число затронутых инцидентом клиентов и не предоставила оперативного комментария.

В своем электронном письме компания заверила, что средства клиентов находятся в безопасности; также сообщается, что Revolut уже уведомила пострадавших пользователей и регулирующие органы, а источник запроса был заблокирован.

Уязвимым звеном оказалась процедура авторизации. После того как запрос прошел внутреннюю проверку Revolut, злоумышленник, выдававший себя за государственного служащего, получил доступ к конфиденциальным личным данным, которые банк собирал для выполнения требований по идентификации клиентов и соблюдению нормативных актов.

Подобные утечки становятся все более сложной проблемой в условиях интернета, где активно используются технологии искусственного интеллекта.

Массовое создание убедительных электронных писем, документов, поддельных личностей и официальных запросов обходится все дешевле, в то время как финансовые компании продолжают накапливать все более подробные сведения о своих клиентах.

Этот инцидент также делает более актуальным практическое применение технологий защиты конфиденциальности, таких как доказательства с нулевым разглашением (ZK-доказательства). Системы ZK позволяют подтвердить факт прохождения проверки личности или соответствие клиента определенным требованиям, не раскрывая при этом паспортных данных, адреса и другой исходной информации, использованной для такой проверки.

Этот контраст особенно очевиден на примере биткоина. В его блокчейне транзакции фиксируются публично, в то время как личные данные - например, сведения из паспорта, домашний адрес или информация о роде занятий - остаются за пределами сети. Финансовые посредники могут сопоставить эти два массива данных, превратив базу клиентов в своего рода карту, связывающую реального человека с его действиями в блокчейне, - информацией, которой могут воспользоваться злоумышленники для атак на крупных держателей биткоинов.

Исследователь блокчейн-данных ZachXBT, обративший внимание на этот инцидент, сообщил в своем Telegram-канале, что утечка, по всей видимости, была ограниченной по масштабу и, возможно, была нацелена на состоятельных пользователей.

Поскольку технологии искусственного интеллекта упрощают подделку личности, смещается фокус в вопросах безопасности: теперь важно не столько то, насколько надежно организации защищают данные клиентов, сколько то, какой объем конфиденциальной информации им вообще необходимо собирать, хранить и раскрывать.