לקוחות Revolut קיבלו החודש הודעה שנייה על דליפת נתונים

לקוחות Revolut נפגעו החודש מדליפת נתונים שנייה: תוקפים חדרו בהנדסה חברתית לברוקר האמריקאי DriveWealth וגנבו מידע אישי היסטורי. הגישה הבלתי מורשית התרחשה ב-4 וב-5 בספטמבר.

מה מסרה DriveWealth

DriveWealth מספקת שירותי ביצוע וסליקה לחברות השקעות, ובעבר ניהלה ישירות חשבונות מסחר של לקוחות Revolut שסחרו במניות אמריקאיות. בהודעה שנשלחה ללקוחות ושאתר The Register ראה, האשימה הברוקר ב"קמפיין הנדסה חברתית מתוחכם" של גורמים שלישיים לא מזוהים. התוקפים הוציאו מידע שנשמר מתקופה שבה אותם לקוחות החזיקו חשבונות ישירות ב-DriveWealth.

המידע שעלול להיחשף כולל שמות, כתובות דואר אלקטרוני, מספרי טלפון, כתובות פיזיות, מידע על מקום העבודה, אזרחות, גיל, מין ומספרי חשבון חלקיים ב-DriveWealth. סיסמאות ומידע לתשלום, לרבות פרטי כרטיסי אשראי וחשבונות בנק, לא נחשפו. עם זאת הזהיר הברוקר שהפרטים שנגנבו עשויים לשמש להונאת זהות, להתחזות, להנדסה חברתית נוספת או לפניות בלתי רצויות, ושהם מספיקים להודעת פישינג משכנעת.

תגובת Revolut

Revolut אישרה ל-Irish Examiner שלקוחותיה נמנים עם הנפגעים וכי הרשומות נוגעות לשיתוף הפעולה הקודם שלה עם DriveWealth. לפי החברה, המערכות והתשתיות שלה לא נפגעו, וכספי הלקוחות וההשקעות שלהם נותרו בטוחים. לא נחשפו סיסמאות, קודי גישה, פרטי כרטיסים או מסמכי זיהוי של Revolut.

המידע הזה הוא שאריות מההסדר שבו לקוחות Revolut סחרו במניות אמריקאיות. החברה העבירה לקוחות בבריטניה, באזור הכלכלי האירופי ובאוסטרליה מההסדר הזה בין דצמבר 2023 ליוני 2025, ולאחר המעברים לא הועברו עוד פרטיהם האישיים ל-DriveWealth. שתי החברות הודיעו ללקוחות שנפגעו, אך אף אחת מהן לא חשפה כמה לקוחות Revolut נפגעו, ושתיהן לא השיבו לשאלות The Register.

חודש לא נוח ל-Revolut

ב-14 בספטמבר הודתה Revolut שהעבירה מידע לקוחות רגיש לפושעים לאחר שאלה שלחו בקשות מידע מזויפות מדומיין דואר אלקטרוני של גוף ממשלתי אמיתי. באירוע נפרד זה עלולים היו להיחשף דרכונים, רישיונות נהיגה, סלפי אימות, תאריכי לידה, כתובות ומידע פיננסי. החברה מסרה אז כי נפלה קורבן ל"הונאת התחזות חיצונית מתוחכמת" וכי נפגע מספר מוגבל של לקוחות.

שני אירועים שונים, שתי קבוצות תוקפים שונות ושתי דרכים שונות למידע של לקוחות. עבור לקוחות Revolut, ספטמבר סיפק יותר הודעות על דליפות ממה שכל אחד היה רוצה מאפליקציית הבנק שלו.