Атака на Revolut. Чем это грозит лично вам

Хакеры выманили у Revolut паспортные данные, контакты и историю транзакций клиентов. Теперь они выкладывают это в открытый доступ. 

Что произошло

Сотрудники Revolut попались на уловку мошенников. Онлайн-банку в течение нескольких месяцев приходили письма от итальянской полиции с требованием предоставить информацию о крупных держателях криптовалют. Запросы выглядели официально: домен почты (то, что после символа @) действительно принадлежал полиции, в самом письме не было никаких ссылок, вложений и ничего, на что бы среагировали почтовые фильтры. Компания, известная своим усердием в исполнении европейского законодательства, высылала все, что у нее просили. Это продолжалось почти пять месяцев. Только в середине сентября сотрудники решили связаться с ведомством и выяснили, что никаких писем оно не посылало. 

Через два дня после того, как Revolut признал утечку, злоумышленники начали публично шантажировать онлайн-банк. Они выложили персональные данные нескольких известных клиентов и потребовали астрономические 10 тыс биткоинов, или 780 млн долларов, в обмен на остановку публикаций. Позднее они озвучили сумму в 3 млн долларов в Monero, которую банк должен был заплатить в течение суток, чтобы данные клиентов не были проданы дургим преступникам. Требования и первые несколько записей из полученной базы были выложены в Telegram-канале, который на момент написания этого материала был удален.   

Как это стало возможным

Мы публиковали подробную инструкцию, что делать, если письмо вызывает сомнения. Но социальная инженерия оказывает намного более сильное давление на жертву, особенно если та находится в зависимом положении. Исполнительность Revolut можно понять: буквально в начале сентября США предварительно одобрили компании национальную банковскую лицензию. Месяцем ранее такую лицензию онлайн-банку выдала Франция. Бизнес, который обязан получать государственное разрешение для работы, вряд ли станет уточнять цель и правовые основания запроса. 

Ответственность в этом кейсе лежит прежде всего на полицейском департаменте, который допустил компрометацию своего почтового домена. Логины к почте, с которой шли запросы, были давно украдены инфостилерами — программами, которые воруют учетные данные с зараженных вирусом компьютеров. Государственные организации обычно настроены на проверку входящей переписки, а не исходящей, и похищение ящика могло достаточно долго оставаться незамеченным, пока хакеры не начали действовать. Хакеры рассказали, что у них полгода был доступ к системам различных силовых структур Италии, и они выкачали оттуда еще много данных. 

В таких случаях полагаться можно лишь на давние, устойчивые контакты в госструктурах, через которые проверяются подозрительные или неожиданные запросы. Каждый серьезный запрос, вне зависимости от срочности, должен проходить проверку специалистами по безопасности, а не только юристами — хотя и судебных постановлений в письмах тоже, по-видимому, не было. Revolut не только не сделал этого, но еще и сам подсказал, как правильно оформлять запросы на предоставление данных.

Поведение хакеров не совсем типично: они не ломали инфраструктуру онлайн-банка, не крали деньги клиентов и не вели торг. Вместо этого группировка стремится придать событию широкую огласку, обвиняя компанию в халатности и отправке данных за пределы ее юрисдикции и обещая выложить еще больше данных, в том числе о внутренних процессах компании. Злоумышленники могут также продать их в даркнете или атаковать клиентов. Revolut, скорее всего, не станет платить выкуп, по крайней мере все 780 млн, а будет сотрудничать с правоохранителями, усиленно мониторить пострадавшие счета и давить на площадки, где выкладываются данные.

Риски и решения 

В выборку попали клиенты с высокими доходами в криптовалюте. Набор предоставленных сведений впечатляет: ФИО, дата рождения, род занятий, удостоверение личности, адрес, телефон, селфи для верификации, а также данные о счетах и история транзакций, в том числе, криптовалютных. Особенно чувствительна информация о переводах и селфи, с помощью которых можно подтвердить личность и зарегистрироваться вместо другого человека на различных, в тч финансовых, платформах. Как минимум, пострадавшим стоит опасаться кражи личности и контактов со стороны злоумышленников.

Но для некоторых пользователей последствия куда серьезнее. Как в случае со Stripe, реквизиты счетов и переводы через Revolut позволяют вычислить, кто и куда переводил средства, и в частности, донатил «нежелательным» организациям или «иноагентам». Особенно неприятный момент — криптотранзакции: зная адрес кошелька, можно отследить все переводы с его участием, а не только через Revolut. Вот что стоит сделать:

1. Проверьте, пострадал ли ваш аккаунт — приходили ли вам уведомления в приложении Revolut или верифицированный имейл от revolut.com. На всякий случай уточните у техподдержки. Не переходите по ссылкам из случайных писем или сообщений, которые эксплуатируют эту тему.
   
   
2. Включите двухфакторную аутентификацию в приложении Revolut и других важных для вас сервисах, в частности финансовых. Используйте приложение-аутентификатор (Google Authenticator или 2FAS), а не SMS.
   
   
3. Revolut никогда не работал в России, а с 2025 года замораживает счета россиян без действующего ВНЖ. Поэтому Росфинмониторинг не мог получить от банков информацию о цепочке транзакций через систему Revolut, в отличие от того же Stripe. Однако, теперь у российских структур вполне могут оказаться утекшие данные.
   
   Если вы обнаружили себя в утечке, и при этом вы жертвовали средства организациям, запрещенным в России, вам небезопасно туда возвращаться, вне зависимости от пожертвованных сумм. Если вас в утечке нет, удалите транзакции из истории на случай, если силовики будут изучать содержимое вашего телефона.
   
   
4. Если вы получили письмо от Revolut, или ваши данные угрожают выложить в публичный доступ, можно обратиться к международной группе юристов DRC. Они занимаются IT-адвокацией, сопровождают судебные иски и оказывают поддержку пострадавшим от утечек персональных данных.