Hackers enganaram a Revolut para obter passaportes e históricos de Bitcoin de clientes ricos

A Revolut divulgou os passaportes e os históricos de transações de Bitcoin dos clientes depois de tratar um pedido governamental fraudulento como legítimo. Os registros poderiam ter incluído cópias de passaportes, cópias de carteiras de motorista e selfies de verificação. Nomes, datas de nascimento, profissões, endereços residenciais, números de telefone, IBANs e extratos de conta também poderiam ter sido divulgados. Registros de saques e históricos completos de transações poderiam ter sido divulgados. O pedido fraudulento veio de uma caixa de correio não autorizada dentro da infraestrutura de domínios de uma agência governamental legítima. A caixa de correio usava credenciais de autenticação válidas. As autenticações SPF, DKIM e DMARC foram aprovadas. A Revolut entrou em contato com a agência depois de divulgar os registros. A Revolut concluiu que o pedido era fraudulento. A Revolut bloqueou o endereço e começou a notificar clientes e reguladores. A Revolut não identificou a agência. A Revolut não divulgou quantos clientes foram afetados. ZachXBT disse que a divulgação parecia limitada em escala. ZachXBT disse que ela pode ter tido como alvo clientes de elevado patrimônio líquido. Não houve relatos de roubo de fundos de clientes. Os avisos da Revolut não incluíam senhas, PINs de cartões ou chaves privadas de criptomoedas. As informações expostas poderiam conectar identidades verificadas e endereços residenciais a atividades com criptomoedas. Marc Zeller disse que a divulgação ocorreu depois de a Revolut exigir informações adicionais sob ameaça de encerramento da conta. Zeller acusou a Revolut de fazer o trabalho dos invasores por eles. O ex-CEO da Mt. Gox, Mark Karpelès, afirmou que identificar a agência poderia ajudar outros bancos e corretoras a determinar se receberam pedidos da mesma caixa de correio. A Revolut disse que os resultados da autenticação a levaram a acreditar que o pedido vinha de uma autoridade governamental autêntica. A Revolut não informou se pedidos de informações governamentais exigem confirmação fora do e-mail. A Revolut não informou por que entrou em contato com a agência somente depois de divulgar os registros dos clientes. A Revolut não informou se alterou esse processo depois de descobrir a fraude.