Revolut передал посторонним копии паспортов, верификационные селфи и финансовую историю части клиентов, приняв мошеннические запросы за официальные обращения государственного ведомства. Британский финтех подтвердил утечку 12 сентября 2026 года и сообщил, что письма пришли из настоящего домена ведомства, поэтому выглядели подлинными и прошли доменную проверку.
Набор раскрытых сведений различался от клиента к клиенту. В уведомлении Revolut перечислил полные имена, даты рождения, род занятий, домашние и электронные адреса, номера телефонов, копии паспортов или водительских удостоверений, а также фотографии лица, сделанные при проверке личности.
Финансовая часть досье могла включать банковские выписки, IBAN, статус и дату открытия счёта, внутренний идентификатор кошелька, сведения о выводе средств и полную историю операций. В отдельных случаях злоумышленники получили данные о транзакциях с биткоином, что позволяет сопоставить реального человека с движением криптовалюты.
Revolut отдельно уточнил, что биометрическая телеметрия лица не попала к посторонним. Речь идёт о математических шаблонах, результатах проверки живого присутствия и других параметрах, которые система рассчитывает по фотографии. Однако само селфи вместе с копией паспорта всё равно может помочь мошенникам выдавать себя за клиента и пытаться проходить проверку личности в других сервисах.
Признаков взлома инфраструктуры Revolut компания не обнаружила. По версии финтеха, злоумышленники использовали несанкционированную почтовую учётную запись, созданную непосредственно внутри официальной доменной инфраструктуры государственного органа. Переписка содержала действительные данные доменной аутентификации, поэтому сотрудники Revolut сочли запросы законными и передали запрошенные сведения.
Обман вскрылся после того, как Revolut отдельно связался с ведомством для проверки запросов. Представители государственного органа подтвердили, что не выдавали разрешение на обращения и не контролировали использованный почтовый адрес. Компания не раскрыла, как посторонние получили учётную запись, взломали ли существующий ящик, создали новый адрес или воспользовались доступом сотрудника ведомства.
Атака била не по банковским серверам, а по процедуре обработки официальных запросов. Доменная аутентификация подтверждает происхождение письма и целостность сообщения, но не полномочия конкретного автора и не законность требования. Такая схема относится к социальной инженерии, при которой злоумышленник заставляет организацию самостоятельно выдать защищённую информацию.
После обнаружения обмана Revolut заблокировал адрес во внутренних системах, предупредил государственное ведомство, правоохранительные органы и регуляторов, а также связался с затронутыми клиентами. Компания утверждает, что банковская инфраструктура и деньги пользователей не пострадали. Подтверждённых случаев списания средств или входа в чужие аккаунты пока нет.
С 13 сентября история переросла в открытый шантаж. Люди, заявившие о причастности к атаке, начали публиковать предполагаемые данные клиентов в Telegram. К 14 сентября The Register обнаружил такие публикации сразу в нескольких группах. Среди выложенных фрагментов журналисты увидели сведения, которые предположительно принадлежат руководителям компаний, профессиональным спортсменам и представителям индустрии развлечений.
В публикациях появляются копии документов, фотографии для проверки личности и финансовые сведения. Однако Revolut пока не подтвердил подлинность конкретных файлов, поэтому установить, какие из опубликованных материалов действительно относятся к пострадавшим клиентам, независимо пока невозможно.
Злоумышленники угрожают публиковать всё больше данных каждый день, пока Revolut не заплатит. Авторы сообщений потребовали 10 000 биткоинов, которые на момент публикации The Register оценивал более чем в $782 млн. Финтех не прокомментировал требование о выкупе и не сообщил, вступал ли в переговоры с вымогателями.
В переписке с City AM предполагаемые участники атаки назвали свою группу Revolut Smilik и подтвердили, что добиваются выплаты от компании. Группа также пообещала публиковать новые данные ежедневно. Revolut отказался отвечать изданию на вопрос о требовании денег.
Revolut называет число пострадавших «ограниченным», но не раскрывает точный масштаб, страны проживания клиентов, дату передачи сведений и название государственного органа. Доступная информация не подтверждает, что предупреждение получили все пользователи сервиса. Компания заявляет, что отправила персональные уведомления людям, чьи сведения действительно раскрыли.
Новый инцидент уже заинтересовал британских регуляторов. Управление по финансовому регулированию и надзору Великобритании сообщило City AM, что знает о случившемся и взаимодействует с Revolut, чтобы оценить последствия и меры по снижению возможного ущерба. Управление комиссара по информации Великобритании также получило сообщение об утечке и изучает предоставленные сведения.
Определить реальный размер утечки по публичным данным пока невозможно. Revolut обслуживает более 80 млн частных клиентов по всему миру и свыше 800 000 компаний, но источники The Register утверждают, что инцидент затронул лишь небольшую долю пользователей. Точное число переданных мошенникам клиентских досье компания не раскрывает.
Блокчейн-исследователь ZachXBT предположил, что преступники прицельно собирали данные состоятельных клиентов и владельцев крупных криптовалютных активов. Среди получателей уведомления оказался бывший руководитель биржи Mt. Gox Марк Карпелес. Revolut не подтвердил отбор жертв по размеру состояния, поэтому версия о целевой охоте на богатых пользователей пока остаётся предположением.
Появившиеся в Telegram материалы косвенно усиливают такую версию. Среди предполагаемых жертв, чьи данные увидел The Register, встречаются руководители компаний, спортсмены и известные представители индустрии развлечений. Однако пока нельзя установить, выбирали ли преступники состоятельных людей ещё на этапе отправки поддельных государственных запросов или просто начали публикацию с наиболее известных клиентов, чтобы усилить давление на Revolut.
Главную опасность создаёт сочетание документов, контактов и точной финансовой истории. Для целевого фишинга преступникам больше не придётся придумывать убедительную легенду. Мошенник сможет назвать адрес клиента, дату открытия счёта, IBAN, реквизиты паспорта и реальную операцию, после чего попросить код подтверждения, перевести деньги на «безопасный счёт» или установить приложение.
История криптовалютных операций несёт отдельный риск. Банковские записи могут связать имя владельца с адресами в блокчейне, показать примерный размер активов и привычное время вывода средств. Такая связь сохраняется надолго, поскольку публичные транзакции нельзя удалить из блокчейна даже после смены банковского счёта или криптокошелька.
Получателям уведомления следует проверять любые обращения через официальный чат внутри приложения Revolut, не сообщать коды доступа и внимательно следить за операциями, телефонным номером и попытками оформить услуги на своё имя. Знание точной суммы перевода или паспортных данных больше нельзя считать доказательством того, что звонит сотрудник банка. Пока нет подтверждений, что преступники получили доступ непосредственно к счетам клиентов или похитили деньги.
Revolut уже сталкивался с атакой через человеческий фактор. При предыдущей утечке в 2022 году злоумышленники с помощью социальной инженерии получили доступ к базе данных и затронули сведения примерно 50 150 клиентов. Новый случай отличается механизмом и набором информации. Преступники не проникли в базу Revolut, а убедили сотрудников самостоятельно сформировать и отправить почти полное клиентское досье.
