A Revolut fintech szolgáltató megerősítette, hogy célzott kibertámadás érte a rendszereit, amelynek eredményeképpen a hekkerek több tízezer ügyfél személyes adataihoz férhettek hozzá. A brit startup szóvivőjének díjnyerte megfogalmazása szerint "egy jogosulatlan harmadik fél rövid időre hozzáfért az ügyfelek 0,16 százalékának adataihoz" – olvasható a TechCrunch beszámolójában. A Revolut szeptember 10-én fedezte fel a behatolást, és másnap reggelre sikerült izolálnia a támadást. A társaság ezzel kapcsolatban azt is közölte, hogy miután azonosítoták és hatékonyan korlátozzták az incidens hatásait, felvették a kapcsolatot az érintett ügyfelekkel – vagyis aki nem kapott a Revoluttól ilyen tárgyú e-mailt, azt a támadás nem is érintette.

A Revolut nem árulta el, hogy pontosan hány ügyfél adataira tehették rá a kezüket a hekkerek, de a cégnek saját közlése alapján nagyjából 20 millió ügyfele van, vagyis a 0,16 százalék körülbelül 32 ezer fiókot jelentene. Azonban a Litvániában banki engedéllyel rendelkező Revolutnak a litván hatóságokhoz eljuttatott bejelentése szerint, amelyet először a Bleeping Computer vett észre, a szolgáltató összesen 50.150 ügyfél kapcsán számolt be jogsértésről, köztük pedig 20.687 jön az Európai Gazdasági Térségből, tehát az Európai Unióból, Norvégiából, Svájcból, Izlandról vagy Liechtensteinből.

Csak óvatosan a revolutos megkeresésekkel

Egyelőre azt sem tudni, hogy a támadók pontosan milyen típusú adatokhoz fértek hozzá, de a Revolut annyit azért közölt, hogy pénzeszközöket nem loptak el, és az érintett ügyfeleknek küldött üzenetek értelmében nem fértek hozzá a kártyaadatokhoz, PIN-kódokhoz vagy jelszavakhoz. Ugyanakkor valószínű, hogy hozzáfértek részleges kártyás fizetési adatokhoz, valamint az ügyfelek nevéhez, címéhez, e-mail címéhez és telefonszámához. A hatósági bejelentésből az is kiderül, hogy a bűnözők social engineering módszereket alkalmaztak, vagyis minden bizonnyal a Revolut alkalmazottaitól csaták ki a bejutáshoz szükséges információt.

Fontos, hogy a vállalat figyemeztetése szerint a támadás nyomán adathalász kampány indult, így a Revolut fokozott óvatosságot kér az ügyfeleitől, bármilyen megkeresést is kapnak a jogsértésekkel kapcsolatban. Erről szólva világossá tették, hogy nem fognak senkit sem telefonon hívni, és olyan SMS-üzeneteket sem küldenek, amelyben bejelentkezési adatokat vagy hozzáférési kódokat kérnek. A Revolut elővigyázatosságból egy olyan dedikált csapatot is felállított, amely az ügyfelek számláit figyelve bizonyosodna meg a pénz és az adatok biztonságáról. A cég elnézést kért az érintettektől, és hangsúlyozta, hogy mennyire komolyan veszi a hasonló incidenseket.