Revolut datu noplūde atklāj klientu pases un Bitcoin darījumus

Revolut nonācis uzmanības centrā pēc neparasta drošības incidenta, kurā krāpniekiem izdevās iegūt sensitīvu klientu informāciju, neuzlaužot uzņēmuma sistēmas. Revolut apstiprināja, ka neatļauta trešā persona iesniegusi krāpnieciskus informācijas pieprasījumus, izmantojot e-pasta kontu, kas atradās īstas valsts iestādes domēnā. Tas ļāva pieprasījumiem izskatīties autentiskiem un iziet uzņēmuma veiktās pārbaudes.

Saskaņā ar cietušajiem nosūtītā paziņojuma saturu izmantotajam e-pastam bija derīgi domēna autentifikācijas dati. Revolut sākotnēji uzskatīja pieprasījumu par īstu un izsniedza prasīto informāciju. Tikai vēlāk, sazinoties ar attiecīgo valsts iestādi, uzņēmums konstatēja, ka konts nav bijis autorizēts šādu pieprasījumu veikšanai.

Tas nozīmē, ka incidents būtiski atšķiras no tradicionālas datu noplūdes, kurā uzbrucēji ielaužas uzņēmuma serveros vai izmanto programmatūras ievainojamību. Šajā gadījumā vājais punkts bija datu pieprasījuma autentiskuma un iesniedzēja pilnvaru pārbaude. Revolut incidentu raksturojis kā sarežģītu ārējas personas īstenotu uzdošanos par citu personu jeb impersonācijas krāpšanu.

Pēc incidenta atklāšanas Revolut bloķēja izmantoto e-pasta adresi un informēja attiecīgo valsts iestādi, tiesībsargājošās institūcijas, datu aizsardzības iestādes un finanšu regulatorus. Uzņēmums norāda, ka tā sistēmas un klientu līdzekļi nav cietuši. Precīzs skarto cilvēku skaits nav publiskots - Revolut vien norādījis, ka ietekmēts ļoti ierobežots klientu skaits. Nav atklāts arī tas, kuras valsts iestādes domēns tika izmantots.

Nopludināti identitātes dati un pilna Bitcoin darījumu vēsture

Revolut incidenta nopietnību palielina ne tikai sensitīvo datu apjoms, bet arī iespēja savstarpēji sasaistīt klienta identitāti ar viņa finanšu aktivitātēm. Saskaņā ar klientiem nosūtītajiem paziņojumiem trešajai pusei varēja tikt nodoti pilni vārdi, dzimšanas datumi, profesijas, dzīvesvietas un e-pasta adreses, tālruņa numuri, kā arī pasu vai autovadītāja apliecību kopijas un identitātes pārbaudei izmantotie pašportreti.

Finanšu informācijas klāsts bija tikpat detalizēts. Potenciāli atklāti IBAN numuri, kontu izraksti, kontu atvēršanas datumi, izmaksu ieraksti un pilna darījumu vēsture, tostarp ar Bitcoin saistītās aktivitātes. Savukārt paroles, karšu PIN kodi un biometriskās sejas veidnes publiski pieejamajā informācijā nav minētas kā kompromitētas.

Bitcoin lietotājiem šāda datu kombinācija rada īpašu privātuma risku. Bitcoin blokķēde ir publiska, taču tajā redzamās adreses pašas par sevi neatklāj to īpašnieka vārdu vai dzīvesvietu. Finanšu starpnieka rīcībā esošā informācija var savienot reālas personas identitāti ar tās kriptovalūtu darījumiem. Rezultātā ļaunprātīga persona var iegūt daudz detalizētāku priekšstatu par konkrēta klienta finanšu aktivitātēm.

On-chain izmeklētājs ZachXBT, kurš pievērsa plašāku uzmanību incidentam, norādīja, ka noplūde šķiet ierobežota un, iespējams, bijusi mērķēta uz turīgiem Revolut lietotājiem. Revolut šo pieņēmumu par turīgu klientu apzinātu atlasi nav publiski apstiprinājis.

Mākslīgais intelekts padara sociālo inženieriju bīstamāku

Revolut incidents izgaismo plašāku problēmu finanšu sektorā: uzbrucējiem ne vienmēr nepieciešams pārvarēt tehniskās aizsardzības sistēmas, ja iespējams izmantot cilvēku un organizāciju uzticēšanos. Šādu sociālās inženierijas uzbrukumu iespējas paplašina ģeneratīvais mākslīgais intelekts, kas ļauj ātri sagatavot pārliecinošus e-pastus, dokumentus un citus materiālus.

Microsoft 2026. gada septembrī ziņoja par krāpšanas kampaņu, kurā tika izsūtīts vairāk nekā miljons e-pastu, imitējot uzņēmumu vadītājus un mēģinot panākt gandrīz 50 000 ASV dolāru maksājumus. Uzbrucēji izmantoja viltotus rēķinus un e-pasta sarakstes, bet Microsoft konstatēja vairākas pazīmes, kas liecināja par ģeneratīvā MI izmantošanu materiālu sagatavošanā.

Arī Eiropas Vērtspapīru un tirgu iestāžu sagatavotajos materiālos norādīts, ka MI var palīdzēt krāpniekiem izveidot pārliecinošākus pikšķerēšanas ziņojumus, analizēt publiski pieejamu informāciju par upuri un pielāgot krāpniecības scenāriju konkrētam cilvēkam. Papildu risku rada deepfake tehnoloģijas, ar kurām iespējams imitēt personas balsi vai izskatu.

Šī tendence jau maina finanšu krāpniecības raksturu. Visa 2026. gada draudu ziņojumā secināja, ka, maksājumu tīklu tehniskajai drošībai kļūstot spēcīgākai, noziedznieki arvien vairāk pievēršas MI atbalstītai sociālajai inženierijai un mēģina panākt, lai cilvēki paši apstiprinātu krāpnieciskas darbības.

Mazāk datu, mazāks risks: vai risinājums ir zero-knowledge proofs?

Revolut incidents aktualizē jautājumu, kas sniedzas tālāk par kiberdrošības sistēmu stiprināšanu: vai finanšu uzņēmumiem nepieciešams glabāt un katrā pārbaudes procesā atklāt tik plašu klientu personas datu apjomu? Viens no iespējamiem risinājumiem ir datu minimizācija - princips, ka tiek apstrādāta tikai konkrētajam mērķim nepieciešamā informācija.

Šajā jomā arvien lielāku uzmanību iegūst zero-knowledge proofs jeb nulles zināšanu apliecinājumi. Šī kriptogrāfijas tehnoloģija ļauj pierādīt konkrēta apgalvojuma patiesumu, neatklājot informāciju, uz kuras tas balstīts. Piemēram, iespējams apliecināt, ka cilvēks ir vecāks par 18 gadiem, nenododot pakalpojuma sniedzējam precīzu dzimšanas datumu. Līdzīgu principu var izmantot arī citu identitātes vai finanšu atribūtu pārbaudē.

Šāda pieeja vairs nav tikai kriptovalūtu nozares teorētiska ideja. Eiropas Savienības Digitālās identitātes regulējums paredz privātumu aizsargājošu tehnoloģiju, tostarp zero-knowledge proofs, integrēšanu Eiropas digitālās identitātes makos. Sistēmai jāatbalsta arī selektīva datu atklāšana, ļaujot lietotājam sniegt tikai konkrētajam pakalpojumam nepieciešamos atribūtus.

Arī Eiropas Datu aizsardzības kolēģijas 2026. gada galīgajās vadlīnijās par personas datu apstrādi blokķēdēs uzsvērta datu minimizācija un glabāšanas termiņu ierobežošana. EDPB norāda, ka zero-knowledge proofs un citas privātumu uzlabojošas tehnoloģijas var samazināt riskus, taču tās jāapvieno ar atbilstošiem tehniskiem un organizatoriskiem drošības pasākumiem.