Утечка данных Revolut раскрыла паспортные данные клиентов и транзакции Bitcoin

Revolut оказался в центре внимания после необычного инцидента безопасности, в ходе которого мошенникам удалось получить конфиденциальную информацию клиентов, не взламывая системы компании. Revolut подтвердил, что неуполномоченное третье лицо отправило мошеннические запросы на получение информации, используя учетную запись электронной почты, которая находилась в домене настоящего государственного учреждения. Это позволило запросам выглядеть аутентичными и пройти проверки, проводимые компанией.

Согласно содержанию уведомления, отправленного пострадавшим, использованная электронная почта имела действительные данные аутентификации домена. Revolut изначально посчитал запрос подлинным и предоставил запрашиваемую информацию. Только позже, связавшись с соответствующим государственным учреждением, компания обнаружила, что учетная запись не была авторизована для выполнения таких запросов.

Это означает, что инцидент существенно отличается от традиционной утечки данных, при которой злоумышленники проникают на серверы компании или используют уязвимости программного обеспечения. В данном случае слабым местом стала проверка подлинности запроса данных и полномочий отправителя. Revolut охарактеризовал инцидент как сложную форму мошенничества с использованием метода имитации (имперсонации), осуществленную внешним лицом.

После обнаружения инцидента Revolut заблокировал использованный адрес электронной почты и проинформировал соответствующее государственное учреждение, правоохранительные органы, органы по защите данных и финансовых регуляторов. Компания заявляет, что ее системы и средства клиентов не пострадали. Точное количество затронутых лиц не разглашается - Revolut лишь указал, что пострадало очень ограниченное число клиентов. Также не раскрывается, домен какого государственного учреждения был использован.

Утекшие данные идентификации и полная история транзакций Bitcoin

Серьезность инцидента с Revolut увеличивается не только из-за объема конфиденциальных данных, но и из-за возможности связать личность клиента с его финансовой активностью. Согласно уведомлениям, отправленным клиентам, третьей стороне могли быть переданы полные имена, даты рождения, профессии, адреса проживания и адреса электронной почты, номера телефонов, а также копии паспортов или водительских прав и селфи, использованные для проверки личности.

Спектр финансовой информации был столь же подробным. Потенциально были раскрыты номера IBAN, выписки по счетам, даты открытия счетов, записи о выплатах и полная история транзакций, включая активность, связанную с Bitcoin. В свою очередь, пароли, PIN-коды карт и биометрические шаблоны лиц в общедоступной информации не упоминаются как скомпрометированные.

Для пользователей Bitcoin такая комбинация данных создает особый риск для конфиденциальности. Блокчейн Bitcoin является публичным, но видимые в нем адреса сами по себе не раскрывают имя или место жительства владельца. Информация, находящаяся в распоряжении финансового посредника, может связать личность реального человека с его криптовалютными транзакциями. В результате злоумышленник может получить гораздо более подробное представление о финансовой активности конкретного клиента.

On-chain исследователь ZachXBT, который привлек более широкое внимание к инциденту, отметил, что утечка кажется ограниченной и, возможно, была нацелена на состоятельных пользователей Revolut. Revolut публично не подтвердил это предположение о целенаправленном выборе состоятельных клиентов.

Искусственный интеллект делает социальную инженерию более опасной

Инцидент с Revolut высвечивает более широкую проблему в финансовом секторе: злоумышленникам не всегда нужно преодолевать технические системы защиты, если можно использовать доверие людей и организаций. Возможности таких атак социальной инженерии расширяет генеративный искусственный интеллект, который позволяет быстро подготавливать убедительные электронные письма, документы и другие материалы.

В сентябре 2026 года Microsoft сообщила о кампании мошенничества, в ходе которой было разослано более миллиона электронных писем, имитирующих руководителей компаний и пытающихся добиться платежей на сумму почти 50 000 долларов США. Злоумышленники использовали поддельные счета и переписку по электронной почте, но Microsoft обнаружила несколько признаков, свидетельствующих об использовании генеративного ИИ при подготовке материалов.

В материалах, подготовленных Европейским управлением по ценным бумагам и рынкам, также указано, что ИИ может помочь мошенникам создавать более убедительные фишинговые сообщения, анализировать общедоступную информацию о жертве и адаптировать сценарий мошенничества под конкретного человека. Дополнительный риск создают технологии deepfake, с помощью которых можно имитировать голос или внешность человека.

Эта тенденция уже меняет характер финансового мошенничества. В отчете об угрозах за 2026 год был сделан вывод, что по мере того, как техническая безопасность платежных сетей становится сильнее, преступники все чаще обращаются к социальной инженерии с поддержкой ИИ и пытаются добиться того, чтобы люди сами подтверждали мошеннические действия.

Меньше данных, меньше риск: является ли решением доказательство с нулевым разглашением?

Инцидент с Revolut актуализирует вопрос, который выходит за рамки укрепления систем кибербезопасности: нужно ли финансовым компаниям хранить и раскрывать в каждом процессе проверки такой широкий объем персональных данных клиентов? Одним из возможных решений является минимизация данных - принцип, согласно которому обрабатывается только информация, необходимая для конкретной цели.

В этой области все больше внимания привлекают zero-knowledge proofs, или доказательства с нулевым разглашением. Эта криптографическая технология позволяет доказать истинность конкретного утверждения, не раскрывая информацию, на которой оно основано. Например, можно подтвердить, что человеку больше 18 лет, не передавая поставщику услуг точную дату рождения. Аналогичный принцип можно использовать и при проверке других атрибутов личности или финансовых данных.

Такой подход больше не является лишь теоретической идеей индустрии криптовалют. Регламент Европейского союза о цифровой идентификации предусматривает интеграцию технологий защиты конфиденциальности, включая доказательства с нулевым разглашением, в европейские кошельки цифровой идентификации. Система также должна поддерживать выборочное раскрытие данных, позволяя пользователю предоставлять только те атрибуты, которые необходимы для конкретной услуги.

В окончательных руководящих принципах Европейского совета по защите данных (EDPB) за 2026 год по обработке персональных данных в блокчейнах также подчеркивается минимизация данных и ограничение сроков хранения. EDPB отмечает, что доказательства с нулевым разглашением и другие технологии, повышающие конфиденциальность, могут снизить риски, но их необходимо сочетать с соответствующими техническими и организационными мерами безопасности.