Revolut раскрыла конфиденциальную информацию о клиентах после того, как приняла фишинговый запрос за легитимное обращение государственного органа, сообщает CryptoNinjas.

По имеющимся данным, раскрытая информация включала копии паспортов и водительских удостоверений, селфи для верификации, полную историю биткоин-транзакций и домашние адреса. Блокчейн-исследователь ZachXBT заявил, что инцидент, по всей видимости, имел ограниченный масштаб, но мог быть нацелен на состоятельных пользователей криптовалют.

Инцидент получил пользовательскую оценку 8.7. Он демонстрирует риски, связанные с использованием проверок безопасности, основанных на доверии, когда запрос выглядит так, будто поступил с официального правительственного адреса электронной почты.

Revolut приняла мошеннический запрос за официальный

В уведомлении для клиентов говорилось, что Revolut получила запрос от действующего государственного органа, который якобы содержал информацию о клиентах. Запрос был отправлен с несанкционированного адреса электронной почты на официальном домене ведомства, однако содержал действительные учетные данные аутентификации домена. Поэтому Revolut сочла обращение подлинным запросом государственного органа и раскрыла информацию о клиентах, прежде чем обнаружила, что запрос был мошенническим.

Раскрытые данные относились к нескольким категориям, включая персональную, контактную, идентификационную и финансовую информацию. Согласно уведомлению, речь шла о полных именах клиентов, почтовых адресах, адресах электронной почты, датах рождения, роде занятий и номерах телефонов.

История биткоин-транзакций оказалась среди раскрытых данных

Финансовая информация особенно важна для пользователей криптовалют. Revolut сообщила, что раскрытые документы содержали выписки по счетам, IBAN, сведения о статусе аккаунтов, референсные номера кошельков, историю выводов средств и полные записи транзакций, включая биткоин-транзакции.

Данные также включали документы, удостоверяющие личность, и информацию, предназначенную для сопровождения фотографий и копий паспортов или водительских удостоверений. Revolut отдельно заявила, что биометрические данные лицевой телеметрии в раскрытую информацию не входили.

Раскрытие данных могло создать связь между реальными личностями и активностью в криптовалютах. Документы, удостоверяющие личность, адреса и номера телефонов обычно хранятся вне блокчейна, тогда как биткоин-транзакции публично записываются в блокчейне. Это означает, что инцидент затронул информацию, хранящуюся у финансовой платформы, а не записи транзакций биткоина или безопасность его сети.

ZachXBT указал на возможную нацеленность на состоятельных пользователей криптовалют

ZachXBT привлек к инциденту более широкое внимание в уведомлении для сообщества в Telegram. Он заявил, что число затронутых пользователей, вероятно, было ограниченным, и предположил, что инцидент мог быть нацелен на состоятельных лиц.

Для пользователей со значительной биткоин-активностью в аккаунтах Revolut объединение данных о транзакциях с информацией, удостоверяющей личность, и сведениями о местоположении могло предоставить злоумышленникам подробный профиль их финансовой активности и истории в блокчейне.

После обнаружения мошенничества Revolut уведомила затронутых лиц. Компания также заявила, что инцидент не был связан с кражей средств клиентов. Таким образом, согласно сообщению, речь шла о раскрытии информации об аккаунтах и личности, тогда как в доступном уведомлении не сообщалось об утрате активов клиентов.

Этот случай демонстрирует разновидность риска для безопасности криптовалют, при которой злоумышленнику не требуется взламывать блокчейн или получать доступ к приватному ключу. Доступ к информации вне блокчейна, связывающей пользователя биткоина с его активностью, также может создавать значительные риски для держателей Bitcoin.