Revolut potwierdził wyciek danych, w ramach którego nieznana strona trzecia złożyła fałszywe żądanie informacji o klientach. Napastnik wykorzystał konto e-mail w prawidłowej domenie rządowej, aby uzyskać kopie dokumentów tożsamości oraz pełną historię transakcji Bitcoin.

Revolut, brytyjski bank cyfrowy, łączy rachunki bieżące, płatności, handel papierami wartościowymi i usługi kryptowalutowe w jednej aplikacji. Oferta kryptowalutowa obejmuje również samodzielną platformę handlową Revolut X oraz eurostabilcoin EURR. Firma poinformowała, że w sierpniu 2026 roku obsługiwała 80 milionów klientów na całym świecie.

Do wycieku doszło w czasie, gdy Revolut rozwija regulowaną działalność bankową i kryptowalutową. Na początku września 2026 roku amerykański regulator bankowy, Office of the Comptroller of the Currency (OCC), udzielił firmie warunkowej zgody na uzyskanie krajowej karty bankowej. W sierpniu Revolut rozpoczął wprowadzanie stablecoina EURR w Danii, Polsce i Portugalii.

Klienci, których dotyczył incydent, otrzymali we wrześniu 2026 roku wiadomości e-mail z powiadomieniem. Revolut nie ujawnił, ilu rachunków dotyczył incydent ani pod jaki organ podszył się napastnik.

Jak fałszywe żądanie oszukało Revolut

Badacze bezpieczeństwa dokumentują fałszywe żądania danych użytkowników składane w ramach przepisów dotyczących sytuacji awaryjnych od 2021 roku. W branży schemat ten znany jest jako Fraudulent Emergency Data Request. Przestępcy zazwyczaj przejmują konto e-mail powiązane z prawdziwą domeną policyjną lub rządową albo podszywają się pod takie konto. Następnie wykorzystują je do żądania danych użytkowników, twierdząc, że sytuacja awaryjna wymaga natychmiastowej reakcji.

Wyjątek dotyczący sytuacji awaryjnych omija standardowy proces weryfikacji, który zazwyczaj obejmuje nakaz sądowy. Firmy mogą więc odpowiadać w ciągu 30 do 60 minut. Ta szybkość czyni procedurę atrakcyjnym celem dla napastników. Apple, Meta, Discord i Verizon padły już ofiarą tego schematu, który początkowo wiązano z grupami Lapsus$ i Recursion Team. W 2024 roku FBI wydało oficjalne ostrzeżenie dotyczące tego procederu.

W przypadku Revolut napastnik wykorzystał konto w prawidłowej domenie rządowej. Rzecznik firmy opisał incydent w rozmowie z TechCrunch jako wyrafinowane zewnętrzne oszustwo polegające na podszywaniu się. Bank cyfrowy zablokował następnie fałszywy adres. Według Revolut incydent nie wpłynął ani na jego systemy, ani na środki klientów. W momencie publikacji raportu firma nie opublikowała odrębnego oświadczenia w tej sprawie. TechCrunch opisał incydent tutaj:

„Revolut niedawno zidentyfikował wyrafinowane zewnętrzne oszustwo polegające na podszywaniu się, w ramach którego nieuprawniona strona trzecia wykorzystała adres e-mail w prawidłowej domenie rządowej do składania fałszywych żądań informacji.” — rzecznik Revolut dla TechCrunch

Revolut poinformował, że powiadomił właściwy organ, organy ścigania, regulatorów ochrony danych oraz nadzór finansowy. Nie wskazał jednak organu, pod który podszywali się napastnicy. Nie wiadomo również, czy napastnik przejął rządowe konto e-mail, czy technicznie sfałszował domenę. Wcześniejsze przypadki obejmowały obie metody.

Metoda ta stanowi szczególne wyzwanie dla instytucji finansowych, które regularnie odpowiadają na oficjalne żądania informacji. Weryfikacja pilnego żądania za pośrednictwem drugiego kanału komunikacji może zająć więcej czasu, niż przewiduje procedura awaryjna.

Jakie informacje mogły zostać ujawnione

Powiadomienie dla klientów wymienia szeroki zakres potencjalnie ujawnionych informacji. Obejmuje ono imiona i nazwiska, daty urodzenia, adresy pocztowe i e-mail oraz numery telefonów. W powiadomieniu wymieniono również kopie dokumentów tożsamości, w tym paszportów i praw jazdy, a także selfie weryfikacyjne zebrane podczas procesu Know Your Customer (KYC), wyciągi z rachunków i pełną historię transakcji.

Informacje te obejmują więc znaczną część danych zebranych podczas onboardingu oraz historii rachunku w regulowanym banku. Revolut określił jednak liczbę klientów, którzy otrzymali bezpośrednie powiadomienia, jako ograniczoną. Firma poinformowała, że środki klientów nie zostały naruszone.

Mark Karpelès, były dyrektor generalny giełdy kryptowalut Mt. Gox, opublikował kopię powiadomienia i powiedział, że również znalazł się wśród poszkodowanych klientów. W jego wersji dodatkowo wymieniono numery IBAN, rejestry wypłat oraz pełną historię transakcji, w tym transakcje Bitcoin. Mogło to ujawnić powiązania między rachunkami bankowymi poszczególnych klientów a ich aktywnością związaną z Bitcoinem.

Analityk danych on-chain ZachXBT ocenił zakres incydentu jako ograniczony, ale podejrzewał, że napastnicy mogli wybrać relatywnie zamożnych użytkowników. Nadal nie wiadomo, czy incydent objął więcej niż jeden rynek.

Zgodnie z art. 33 i 34 ogólnego rozporządzenia o ochronie danych (GDPR) incydent obejmujący dokumenty tożsamości, biometryczne selfie i pełną historię finansową może stanowić naruszenie o wysokim ryzyku, wymagające powiadomienia osób, których dane dotyczą. Właściwość w sprawie ma litewski Państwowy Inspektorat Ochrony Danych (VDAI), ponieważ Revolut posiada europejską licencję bankową za pośrednictwem Revolut Bank UAB. Podmiot ten podlega również nadzorowi Banku Litwy i Europejskiego Banku Centralnego (ECB). Wypowiedzi rzecznika nie wskazują, kiedy Revolut po raz pierwszy powiadomił organy nadzorcze.

Połączenie danych KYC i Bitcoin stwarza zagrożenia dla bezpieczeństwa

Zestaw danych zawierający dokument tożsamości, adres zamieszkania i widoczne zasoby Bitcoin stanowi coś więcej niż problem prywatności. Może działać jak lista celów. W branży kryptowalutowej takie połączenia danych uznaje się za czynniki ułatwiające tak zwane wrench attacks, czyli ataki, podczas których przestępcy stosują przymus fizyczny, aby zmusić ofiary do przekazania dostępu do aktywów kryptowalutowych.

Osoba, która wie, ile Bitcoinów posiada dana osoba i gdzie mieszka, może nie potrzebować przeprowadzać ataku technicznego. Kopie dokumentów tożsamości i selfie mogą również ułatwić przejęcie innych rachunków. Bank może wymienić skradziony numer karty, ale nie może zastąpić ujawnionej tożsamości.

Liczba zgłaszanych przypadków gwałtownie rośnie. Raport CertiK odnotował 52 zweryfikowane wrench attacks w pierwszej połowie 2026 roku, powodujące straty w wysokości około USD 124.1 million. W analogicznym okresie rok wcześniej raport wskazywał 39 incydentów, co oznacza wzrost liczby przypadków o 33%. Wcześniejsze straty wyniosły nieco ponad USD 10 million. Wzrost strat finansowych był zatem znacznie większy niż wzrost liczby incydentów. Dokumenty tożsamości i adresy zamieszkania mogą również pozostawać przydatne przestępcom przez lata.

Revolut dołącza do serii wycieków danych firm kryptowalutowych

Incydent w Revolut jest kolejnym z szeregu naruszeń danych dotyczących firm kryptowalutowych. W sierpniu 2026 roku wyciek u dostawcy portfela SafePal dotknął około 39,798 klientów, choć klucze prywatne i salda nie zostały ujawnione. W przypadku Trezor dane około 67,000 klientów z USA wyciekły za pośrednictwem dostawcy usług wysyłkowych ShipMonk. Odrębne naruszenie u dostawcy poczty elektronicznej producenta portfeli sprzętowych umożliwiło również przeprowadzanie phishingu za pośrednictwem prawidłowej domeny Trezor. W obu przypadkach powierzchnia ataku znajdowała się u dostawcy usług wykorzystywanego przez producenta.

Największy niedawny precedens dotyczył Coinbase w maju 2025 roku. Przekupieni pracownicy działu wsparcia za granicą przekazali informacje o około 70,000 klientach. Dane obejmowały imiona i nazwiska, adresy, obrazy dokumentów tożsamości, historie transakcji i salda rachunków. Szantażyści zażądali USD 20 million, ale Coinbase nie zapłacił. Szacowane koszty usunięcia skutków incydentu ostatecznie wyniosły od USD 180 million do USD 400 million, co oznacza, że późniejsze koszty były wielokrotnie wyższe od żądanej kwoty. Na początku 2026 roku w Coinbase doszło następnie do mniejszego incydentu wewnętrznego, który dotknął około 30 klientów.

W tych incydentach napastnicy atakowali dostęp do baz danych klientów, a nie bezpośrednie przechowywanie aktywów kryptowalutowych. Dostawcy usług związanych z kryptowalutami gromadzą szczególnie kompleksowe dane tożsamości ze względów regulacyjnych. Samodzielne przechowywanie aktywów zapewnia więc tylko częściową ochronę przed tego rodzaju ujawnieniem, ponieważ znaczna część danych identyfikacyjnych jest zbierana już podczas rejestracji.

W przypadku Revolut moment ujawnienia incydentu zwiększa presję regulacyjną. Warunkowa zgoda OCC oraz wprowadzenie EURR następują, gdy dochodzenie w sprawie wycieku danych dopiero się rozpoczyna. Nadal nie wiadomo między innymi, do ilu rachunków uzyskano dostęp, czy incydent objął więcej niż jeden rynek, w jaki sposób uzyskano lub podrobiono rządową tożsamość oraz jakie wnioski właściwe organy wyciągną w sprawie reakcji Revolut i procesu powiadamiania.