Revolut tertipu hingga menyerahkan paspor dan riwayat Bitcoin nasabah kaya kepada peretas

Revolut mengungkapkan paspor dan riwayat transaksi Bitcoin nasabah setelah memperlakukan permintaan pemerintah palsu sebagai permintaan yang sah. Catatan tersebut mungkin mencakup salinan paspor, salinan surat izin mengemudi, dan swafoto untuk verifikasi. Nama, tanggal lahir, pekerjaan, alamat rumah, nomor telepon, IBAN, dan laporan rekening juga mungkin telah dirilis. Catatan penarikan dan riwayat transaksi lengkap juga mungkin telah dirilis. Permintaan palsu itu berasal dari kotak surat yang tidak berwenang di dalam infrastruktur domain milik lembaga pemerintah yang asli. Kotak surat tersebut menggunakan kredensial autentikasi yang valid. Autentikasi SPF, DKIM, dan DMARC berhasil. Revolut menghubungi lembaga tersebut setelah merilis catatan. Revolut menyimpulkan bahwa permintaan itu palsu. Revolut memblokir alamat tersebut dan mulai memberi tahu nasabah serta regulator. Revolut belum mengidentifikasi lembaga itu. Revolut belum mengungkapkan berapa banyak nasabah yang terdampak. ZachXBT mengatakan pengungkapan tersebut tampaknya terbatas. ZachXBT mengatakan pengungkapan itu mungkin menargetkan nasabah dengan kekayaan bersih tinggi. Belum ada laporan dana nasabah dicuri. Pemberitahuan Revolut tidak mencakup kata sandi, PIN kartu, atau kunci privat mata uang kripto. Informasi yang terekspos dapat menghubungkan identitas terverifikasi dan alamat tempat tinggal dengan aktivitas mata uang kripto. Marc Zeller mengatakan pengungkapan tersebut terjadi setelah Revolut meminta informasi tambahan dengan ancaman penutupan rekening. Zeller menuduh Revolut telah melakukan pekerjaan para penyerang untuk mereka. Mantan CEO Mt. Gox Mark Karpelès berpendapat bahwa mengidentifikasi lembaga tersebut dapat membantu bank dan bursa lain menentukan apakah mereka menerima permintaan dari kotak surat yang sama. Revolut mengatakan hasil autentikasi membuatnya percaya bahwa permintaan tersebut berasal dari otoritas pemerintah yang autentik. Revolut belum mengatakan apakah permintaan informasi pemerintah memerlukan konfirmasi di luar email. Revolut belum mengatakan mengapa mereka menghubungi lembaga tersebut hanya setelah merilis catatan nasabah. Revolut belum mengatakan apakah mereka mengubah proses itu setelah menemukan penipuan tersebut.