Revolut, 12 Eylül’de bir kamu kurumuna ait gerçek e-posta alan adından gelen sahte bilgi talepleri sonrasında hassas müşteri verilerinin yetkisiz bir üçüncü tarafa verildiğini doğruladı. Şirket etkilenen müşteri sayısını “sınırlı” olarak tanımlıyor; Euronews ve Reuters’a konuşan bir kaynağa göre sayı yaklaşık 680 ve müşteriler birkaç Avrupa ülkesine dağılmış durumda.
Açığa çıkan kayıtlarda ad, doğum tarihi, posta ve e-posta adresi, telefon numarası, pasaport ve ehliyet kopyaları, hesap doğrulama selfie’leri, IBAN, hesap ekstreleri, para çekme kayıtları ve Bitcoin işlem geçmişi bulunuyor; bu liste Financial Times ve Help Net Security’nin aktardığı içerikle sınırlı. Revolut, sistemlerinin ve müşteri fonlarının etkilenmediğini, sahte talebi fark ettikten sonra e-posta adresini bloke ettiğini ve olayı ilgili kamu kurumuna, kolluk kuvvetlerine ve düzenleyicilere bildirdiğini açıkladı. Etkilenen müşterilere doğrudan bilgi verildi.
Saldırganların talebi şirkete doğrudan ulaşmadı. Financial Times, 24 saat içinde 3 milyon dolar isteyen grubun aksi halde yüzlerce müşterinin kayıtlarını başka suç gruplarına satmakla tehdit ettiğini yazdı. Reuters’a konuşan Revolut sözcüsü 16 Eylül’de kendilerine doğrudan bir temas ya da talep gelmediğini söyledi. Askıya alınmış bir Telegram hesabındaki paylaşımlarda “Revolut ödeyene kadar her gün veri yayımlayacakları” tehdidi yer aldı; aynı hesapta sahte e-postanın İtalyan bir kamu kurumunun alan adından geldiği öne sürüldü. Bu iddialar bağımsız olarak doğrulanmadı.
İngiltere’nin veri koruma kurumu ICO olayı inceliyor; kurum raporu aldığını ve verilen bilgileri değerlendirdiğini doğruladı. Revolut’un Avrupa bankacılık lisansı Litvanya’da olduğu için sürecin düzenleyici tarafında Litvanya Merkez Bankası da bulunuyor. İrlanda’da 12 müşterinin etkilendiği soruşturmaya yakın kaynaklarca aktarıldı; FinanceFeeds’e göre açığa çıkan kayıtların arasında Mt. Gox’un eski yöneticisi Mark Karpeles’in bilgileri de var.
Olayın ayırt edici yanı, teknik bir güvenlik açığı değil süreç ihlali olması: saldırganlar bir kamu kurumunun alan adını kullanarak şirketin bilgi paylaşım sürecini kendi lehine çevirdi. Saldırının tekniği, kamu kurumlarından gelen bilgi taleplerinin nasıl doğrulanacağı sorusunu sektörün gündemine taşıdı. Bankacılıkta kimlik kayıtlarının saklanması zorunlu; İrlanda basınına göre bu süre en az beş yıl. ICO, incelemenin sonucunu belirlerken açığa çıkan verinin türünü, etkilenen kişi sayısını, olası zararı ve şirketin aldığı önlemleri birlikte değerlendiriyor. Şifre ve kart değiştirilebilirken pasaport taraması veya doğrulama selfie’si geri alınamıyor; bu yüzden İngiltere ve Litvanya’daki incelemelerin sonucu, sızıntının kapsamı kadar bankaların kimlik verisi saklama pratiğini de belirleyecek.