Revolut potwierdził, że ujawnił wrażliwe dane klientów nieuprawnionej osobie trzeciej po otrzymaniu fałszywych żądań wysłanych z legalnej domeny e-mail należącej do instytucji rządowej. Ujawnione dane obejmowały informacje identyfikacyjne i kontaktowe klientów.
Wiadomość email z prawdziwej domeny usypia naszą czujność. Wyciek danych klientów Revoluta pokazuje, że nie powinna [komentarz ESET]
Brytyjski fintech Revolut potwierdził, że ujawnił wrażliwe dane klientów nieuprawnionej osobie trzeciej po otrzymaniu fałszywych żądań wysłanych z legalnej domeny e-mail należącej do instytucji rządowej. Ujawnione dane obejmowały informacje identyfikacyjne i kontaktowe klientów, w tym datę urodzenia, adres zamieszkania, adres e-mail oraz numer telefonu, a także kopie dokumentów tożsamości, m.in. paszportów i praw jazdy.
Rzecznik Revoluta potwierdził, że incydent dotyczył „ograniczonej” liczby klientów i że firma skontaktowała się z nimi bezpośrednio. Revolut nie podał jednak dokładnej liczby poszkodowanych osób. Nie odpowiedział również na pytanie, czy incydent ograniczał się do konkretnego rynku, i odmówił ujawnienia, o jaką instytucję rządową chodziło.
Revolut działa w 30 krajach, w tym w Polsce, gdzie jest 5. bankiem pod kątem liczby klientów.[1]
Komentarz Kamila Sadkowskiego, analityka cyberbezpieczeństwa ESET:
– Szczególnie niepokojące jest to, że żądania pochodziły z prawdziwego konta e-mail należącego do instytucji rządowej, przez co znacznie trudniej było rozpoznać je jako próbę oszustwa. Tymczasem dla wielu z nas właśnie sprawdzenie domeny, z której pochodzi wiadomość, jest jednym z podstawowych kryteriów oceny, czy e-mail jest wiarygodny.
Z punktu widzenia firm, ten przypadek pokazuje, że cyberprzestępcy nie muszą atakować ich bezpośrednio. Czasem łatwiejszą drogą jest przejęcie konta organizacji, której firma ufa – partnera, dostawcy czy instytucji publicznej – i wykorzystanie tego zaufania do uzyskania danych lub skłonienia pracownika do określonego działania. To oznacza, że nawet wiadomość przychodząca z prawidłowej domeny i od znanego nadawcy nie powinna automatycznie omijać procedur bezpieczeństwa, szczególnie gdy dotyczy przekazania wrażliwych informacji.
Dla zwykłych użytkowników lekcja jest podobna: prawdziwy adres e-mail nie zawsze oznacza prawdziwą wiadomość. Warto patrzeć nie tylko na domenę nadawcy, ale również na treść i kontekst wiadomości. Szczególną ostrożność powinny wzbudzać prośby o dane osobowe, dokumenty, hasła, kody czy wykonanie nietypowej operacji. Jeśli mamy wątpliwości, najlepiej zweryfikować prośbę innym kanałem, korzystając z danych kontaktowych znalezionych samodzielnie na oficjalnej stronie danej instytucji.
Obserwuj nas na Google News
ZOBACZ RÓWNIEŻ:
- Atak, którego nie zatrzyma reinstalacja systemu. ESET ujawnia lukę przed startem komputera
- Koniec z brudną szmatką na podłodze. Test potwora sprzątającego MOVA Z70 Ultra Roller Complete
- Praca, podróż, muzyka i rozmowy – Jabra Evolve3 85 sprawdza się wszędzie (test i opinia)
- Koniec z rodzinnymi kłótniami o Wi-Fi. Testuję Tenda AX12 (AX3000) w prawdziwym domowym boju!
[1]https://www.bankier.pl/wiadomosc/Revolut-piatym-bankiem-w-Polsce-pod-wzgledem-liczby-klientow-Sprawdzilismy-kogo-wyprzedzil-9156002.html
