Revolut divulgó información confidencial de clientes después de tratar una solicitud de phishing como una comunicación legítima de un organismo gubernamental, según CryptoNinjas.

La información expuesta supuestamente incluía copias de pasaportes y licencias de conducir, selfies de verificación, historiales completos de transacciones de Bitcoin y domicilios. El investigador de blockchain ZachXBT afirmó que el incidente parecía limitado en escala, pero que podría haberse dirigido a usuarios de criptomonedas con un alto patrimonio.

El incidente recibió una puntuación de usuario de 8.7. Esto pone de relieve los riesgos de depender de controles de seguridad basados en la confianza cuando una solicitud parece provenir de una dirección oficial de correo electrónico gubernamental.

Revolut trató la solicitud fraudulenta como oficial

Un aviso a los clientes indicó que Revolut recibió una solicitud de un organismo gubernamental válido que supuestamente contenía información de clientes. La solicitud fue enviada desde una dirección de correo electrónico no autorizada del dominio oficial de la agencia, pero contaba con credenciales válidas de autenticación del dominio. Por ello, Revolut trató la comunicación como una solicitud gubernamental auténtica y divulgó información de clientes antes de descubrir que era fraudulenta.

Los datos divulgados pertenecían a varias categorías, incluida información personal, de contacto, identidad y financiera. Según el aviso, esto incluía los nombres completos de los clientes, direcciones postales, direcciones de correo electrónico, fechas de nacimiento, ocupaciones y números telefónicos.

Historiales de transacciones de Bitcoin entre los datos expuestos

La información financiera es especialmente relevante para los usuarios de criptomonedas. Revolut afirmó que los documentos divulgados contenían estados de cuenta, IBAN, información sobre el estado de las cuentas, números de referencia de billeteras, historiales de retiros y registros completos de transacciones, incluidas las transacciones de Bitcoin.

Los datos también incluían documentos de identidad e información destinada a acompañar fotografías y copias de pasaportes o licencias de conducir. Revolut indicó específicamente que no se incluyeron datos biométricos de telemetría facial.

La divulgación podría crear un vínculo entre las identidades del mundo real y la actividad relacionada con las criptomonedas. Por lo general, los documentos de identidad, las direcciones y los números telefónicos se almacenan fuera de la cadena, mientras que las transacciones de Bitcoin se registran públicamente en la cadena. Esta distinción significa que el incidente involucró información almacenada por una plataforma financiera, no un cambio en los registros de transacciones o la seguridad de la red de Bitcoin.

ZachXBT plantea una posible selección de usuarios

ZachXBT llamó más la atención sobre el incidente mediante una alerta comunitaria en Telegram. Dijo que la cantidad de usuarios afectados probablemente era limitada, aunque sugirió que el incidente parecía estar dirigido a personas con un alto patrimonio.

Para los usuarios con una actividad considerable de Bitcoin en sus cuentas de Revolut, combinar los datos de transacciones con información de identificación y ubicación podría proporcionar a los atacantes un perfil detallado de su historial financiero y en cadena.

Después de descubrir el fraude, Revolut informó a las personas afectadas. La empresa también afirmó que el incidente no estaba relacionado con el robo de fondos de clientes. Por lo tanto, la respuesta reportada se centró en la exposición de información de cuentas e identidad, mientras que el aviso disponible no describió ninguna pérdida de activos de clientes.

El caso ilustra una forma de riesgo de seguridad de las criptomonedas que no requiere que un atacante comprometa una blockchain u obtenga una clave privada. El acceso a información fuera de la cadena que conecte a un usuario de Bitcoin con su actividad también puede generar riesgos significativos para los titulares de Bitcoin.