Revolut przekazał dane klientów oszustom podszywającym się pod agencję rządową

Oszukańcze wnioski rządowe

Brytyjska firma z sektora technologii finansowych Revolut potwierdziła 12 września 2026 r., że wrażliwe dane klientów zostały ujawnione nieuprawnionej stronie trzeciej w wyniku oszustwa typu impersonation. Napastnicy przesłali fałszywe wnioski o udostępnienie informacji, korzystając z autentycznej domeny e-mail należącej do agencji rządowej. Wiadomości posiadały prawidłowe uwierzytelnienie techniczne domeny, co skłoniło personel firmy do potraktowania zapytań jako zgodnych z prawem nakazów ujawnienia informacji i przesłania żądanych plików.

Rzecznik firmy opisał charakter ataku:

Revolut zidentyfikował niedawno wyrafinowane zewnętrzne oszustwo, w którym nieuprawniona strona trzecia wykorzystała e-mail z domeny agencji rządowej do przesłania fałszywych wniosków o informacje.

Zakres i skompromitowane dane

Przejęte dane obejmowały informacje o tożsamości i dane kontaktowe klientów, w tym pełne imiona i nazwiska, daty urodzenia, adresy pocztowe, adresy e-mail oraz numery telefonów. Przesłane pakiety zawierały również kopie oficjalnych dokumentów tożsamości, takich jak prawa jazdy i paszporty. Poszkodowani klienci otrzymali powiadomienia e-mail wskazujące, że podczas incydentu mogły zostać ujawnione również wyciągi z kont, zdjęcia weryfikacyjne, historie transakcji oraz międzynarodowe numery rachunków bankowych.

Niezależny badacz kryptowalut ZachXBT poinformował w piątek wieczorem, że oszustwo wydawało się specjalnie przygotowane pod kątem zamożnych klientów korzystających z usług cyfrowego banku. Revolut oświadczył, że incydent dotknął ograniczonej liczby klientów, a wszystkie poszkodowane osoby zostały bezpośrednio powiadomione. Powołując się na trwające dochodzenia i wymogi poufności, firma odmówiła ujawnienia dokładnej liczby poszkodowanych użytkowników, tożsamości podszywającej się agencji rządowej oraz konkretnych jurysdykcji krajowych, których dotyczy sprawa.

Powstrzymanie incydentu i powiadomienia urzędowe

Revolut zidentyfikował oszukańczy charakter zapytań dopiero po skontaktowaniu się z urzędnikami w odpowiedniej agencji, po czym wewnętrzne zespoły ds. bezpieczeństwa zablokowały adres nadawcy. Firma z siedzibą w Londynie podkreśliła, że jej podstawowa infrastruktura bankowa, systemy administracyjne oraz salda klientów pozostały nienaruszone przez cały czas trwania naruszenia bezpieczeństwa.

Rzecznik firmy przedstawił działania podjęte wobec organów państwowych:

Gdy tylko wykryliśmy incydent, natychmiast zablokowaliśmy adres i powiadomiliśmy odpowiednią agencję rządową, a także organy ścigania, organy ochrony danych i organy nadzoru finansowego.

Pozycja rynkowa i ekspansja

Założony w 2015 r. jako cyfrowy pożyczkodawca bez oddziałów, Revolut obsługuje globalną bazę ponad 80 mln użytkowników w ponad 30 krajach. Francja stanowi około 10% wszystkich użytkowników, podczas gdy Rumunia odpowiada za od 4,5 mln do 5 mln klientów, co czyni ją trzecim co do wielkości rynkiem banku po Wielkiej Brytanii i Francji. Firma rozszerzyła działalność na Indie, Meksyk oraz Zjednoczone Emiraty Arabskie.

Na początku września 2026 r. amerykański Urząd Kontrolera Waluty (OCC) udzielił Revolutowi warunkowej zgody na utworzenie banku krajowego, którego uruchomienie operacyjne planowane jest na pierwszą połowę 2027 r. Do naruszenia doszło w czasie, gdy firma oceniała potencjalną pierwszą ofertę publiczną (IPO), celując w wycenę na poziomie 200 mld USD, w porównaniu z wyceną prywatną 75 mld USD odnotowaną w listopadzie.