Финтех-компания Revolut передала мошенникам конфиденциальные данные клиентов, поверив поддельному запросу, который выглядел как обращение государственного органа. Об этом сообщает Reuters. Злоумышленники использовали электронный адрес с государственным доменом и направляли компании фиктивные требования предоставить информацию о пользователях.
В результате могли быть раскрыты адреса и номера телефонов клиентов, копии удостоверяющих личность документов, селфи, использовавшиеся для верификации, банковские выписки и история транзакций. Таким образом, мошенники получили возможность запросить не отдельный фрагмент сведений, а данные, которые позволяют составить подробный профиль клиента и его финансовой активности.
Схема была построена на доверии к внешнему виду и происхождению электронного письма. Адрес отправителя содержал государственный домен, поэтому запрос выглядел как официальное требование, поступившее от компетентного учреждения. Для компании это стало основанием обработать обращение и передать запрошенную информацию, хотя на самом деле за ним стояли преступники.
Как работала подмена
Ключевым элементом атаки стало не проникновение в систему Revolut в описанном смысле, а обман сотрудников или процедур, по которым проверяются запросы о данных клиентов. Мошенники имитировали государственный источник и использовали форму официального обращения, чтобы добиться доступа к сведениям, охраняемым как конфиденциальная информация.
Поддельные запросы могли создавать впечатление, что компания обязана ответить на них. Государственный домен усиливал достоверность писем: для получателя он выглядел как признак принадлежности отправителя к официальной структуре. В действительности этот элемент был частью мошеннической схемы, направленной на получение клиентских данных.
Перечень информации, которая могла оказаться у злоумышленников, особенно важен для оценки последствий. Контактные данные позволяют обращаться к человеку напрямую. Копии документов и селфи, сделанные во время идентификации, могут использоваться для имитации личности. Выписки и история транзакций раскрывают финансовые операции и привычки клиента, а также дают мошенникам больше возможностей для последующих атак.
Почему утечка опасна для клиентов
Сочетание персональных и банковских сведений увеличивает риск новых попыток обмана. Получившие доступ к информации злоумышленники могут обращаться к клиентам более убедительно: ссылаться на реальные данные, упоминать операции или использовать сведения из документов, чтобы создать видимость законного контакта.
Особую опасность представляет возможность связать имя и контактные данные с финансовой историей. В таком случае мошеннические сообщения могут выглядеть как продолжение уже существующего общения с банком или сервисом. Клиенту сложнее отличить подделку от настоящего уведомления, если отправитель располагает точными сведениями о его аккаунте и операциях.
Ситуация также показывает, что наличие государственного домена само по себе не гарантирует подлинность запроса. Для мошенников этот адрес стал инструментом социальной инженерии: он должен был убедить Revolut в официальном характере обращения. Ошибка на этапе проверки привела к передаче данных, которые пользователи предоставляли компании для идентификации и обслуживания своих финансовых операций.
Для клиентов значение имеет не только факт возможного раскрытия отдельных сведений, но и их совокупность. Адрес, телефон, документ, селфи, выписка и история транзакций вместе формируют массив информации, который может быть использован против владельца аккаунта. Чем больше деталей получает злоумышленник, тем убедительнее становятся последующие попытки выдать себя за представителя финансовой организации или государственного учреждения.
Ответственность за проверку запросов
История с Revolut подчёркивает, насколько важны процедуры, позволяющие проверить не только адрес отправителя, но и содержание требования, его основание и подлинность учреждения, от имени которого оно направлено. Внешне официальный электронный адрес не должен автоматически означать, что запрашивающая сторона действительно имеет право получать сведения о клиентах.
В данном случае именно подмена государственного запроса стала причиной передачи конфиденциальной информации. Мошенники использовали доверие к официальному каналу, а Revolut принял фиктивное обращение за подлинное. Это сделало клиентов уязвимыми сразу по нескольким направлениям — от контактов и документов до данных о банковских операциях.
Практическое последствие для пользователей очевидно: раскрытые сведения могут применяться в дальнейших мошеннических кампаниях, где преступники будут опираться на реальные персональные и финансовые детали. Для самой компании ключевым последствием становится необходимость усилить проверку запросов, поступающих якобы от государственных органов, поскольку одна ошибка в такой процедуре затрагивает конфиденциальность клиентов и безопасность их счетов.
Как, по вашему мнению, финансовые компании должны отвечать за передачу клиентских данных по поддельным запросам и какие меры могли бы лучше защитить пользователей от последующих атак?
