Revolut подтвердил утечку данных части клиентов: мошенники получили доступ к настоящему правительственному почтовому домену и отправили банку запросы на раскрытие информации под видом сотрудников правоохранительных органов. Compания приняла запросы за легитимные и передала данные без дополнительных проверок — взлома систем Revolut не произошло, инцидент произошёл из-за доверия к подлинному, но неавторизованному аккаунту в чужом домене.

По данным Financial Times, утечка затронула около 700 пользователей, среди которых оказались крупные держатели криптовалют («криптокитыi»). Хакеры уже начали публиковать часть данных и требуют выкуп, угрожая передать всё другим преступным группам; конкретная сумма требований в разных сообщениях расходится.

• По данным Хабра, мошенники выдавали себя за британских чиновников и использовали реальный правительственный домен — письмо прошло проверку подлинности, хотя отправивший его аккаунт никто не авторизовал; по данным vc.ru (со ссылкой на FT), речь идёт о взломанной итальянской государственной почтовой системе, а мошенники представлялись сотрудниками правоохранительных органов
• В утечку попали: полные имена, даты рождения, род деятельности, почтовые и электронные адреса, телефоны, сканы паспортов и водительских удостоверений, история криптотранзакций, часть платёжных данных и селфи для верификации; Revolut заявляет, что биометрия не была раскрыта, хотя селфи фигурируют среди утёкших файлов
• Компания подчёркивает, что взлома её систем не было: логины от аккаунтов, номера карт, приватные ключи и доступ к деньгам клиентов не скомпрометированы, средства и активы остались нетронутыми
• Среди пострадавших, по данным The Edinorog, названы экс-глава криптобиржи Mt Goxi Марк Карпелес, глава криптоказино Gamdom Феликс Рёмер и теннисист Александр Шевченко
• Первоначально (по данным The Edinorog и канала Миши Ларченко) хакеры требовали 10 000 биткоинов (около $782 млн) за неопубликование данных; позже, 17 сентября, по данным vc.ru и Код.ру, сумма требований изменилась до $3 млн в криптовалюте Monero (6000 XMR) с дедлайном 24 часа, с угрозой передать данные другим криминальным группировкам
• Revolut связался с ведомством, чьим доменом воспользовались мошенники, заблокировал проблемный адрес, подключил дополнительную защиту к пострадавшим аккаунтам и уведомляет регуляторов; ни само ведомство, ни точное число пострадавших, ни дата запроса компанией не раскрыты, регуляторы пока не комментировали
• История не связана с июльской продажей данных 75 млн клиентов Revolut на хакерском форуме — тогда компания заявила, что следов взлома не нашла, а образцы утёкших данных не совпали с реальными аккаунтами