Hackers engañaron a Revolut para que entregara los pasaportes y los historiales de Bitcoin de clientes adinerados

Revolut reveló los pasaportes y los historiales de transacciones de Bitcoin de sus clientes después de tratar como legítima una solicitud gubernamental fraudulenta. Los registros podrían haber incluido copias de pasaportes, copias de permisos de conducir y selfies de verificación. También podrían haberse divulgado nombres, fechas de nacimiento, profesiones, domicilios, números de teléfono, IBAN y extractos de cuenta. Podrían haberse divulgado registros de retiros y los historiales completos de transacciones. La solicitud fraudulenta procedía de un buzón no autorizado dentro de la infraestructura de dominios de una agencia gubernamental real. El buzón utilizaba credenciales de autenticación válidas. Las autenticaciones SPF, DKIM y DMARC fueron aprobadas. Revolut se puso en contacto con la agencia después de divulgar los registros. Revolut concluyó que la solicitud era fraudulenta. Revolut bloqueó la dirección y comenzó a notificar a clientes y reguladores. Revolut no ha identificado a la agencia. Revolut no ha revelado cuántos clientes se vieron afectados. ZachXBT dijo que la divulgación parecía limitada en escala. ZachXBT dijo que podría haber tenido como objetivo a clientes con un elevado patrimonio neto. No se ha informado del robo de fondos de clientes. Las notificaciones de Revolut no incluían contraseñas, PIN de tarjetas ni claves privadas de criptomonedas. La información expuesta podría vincular identidades verificadas y domicilios con actividades de criptomonedas. Marc Zeller dijo que la divulgación se produjo después de que Revolut exigiera información adicional bajo la amenaza de cerrar las cuentas. Zeller acusó a Revolut de hacer el trabajo de los atacantes por ellos. El exdirector ejecutivo de Mt. Gox, Mark Karpelès, sostuvo que identificar a la agencia podría ayudar a otros bancos y plataformas de intercambio a determinar si habían recibido solicitudes del mismo buzón. Revolut dijo que los resultados de autenticación le llevaron a creer que la solicitud procedía de una autoridad gubernamental auténtica. Revolut no ha dicho si las solicitudes de información gubernamental requieren confirmación fuera del correo electrónico. Revolut no ha dicho por qué se puso en contacto con la agencia solo después de divulgar los registros de clientes. Revolut no ha dicho si cambió ese proceso después de descubrir el fraude.