Revolut potwierdza wyciek danych paszportowych i dotyczących bitcoina po fałszywym e-mailu
Atak dotknął ograniczoną grupę klientów i objął przede wszystkim dane tożsamości oraz dane transakcji Bitcoin. Revolut twierdzi, że systemy i środki klientów nie zostały naruszone.
Najważniejsze informacje
- Revolut potwierdza, że napastnik za pośrednictwem fałszywej wiadomości uzyskał dostęp do plików klientów, w tym paszportów, selfie i zapisów Bitcoin.
- Firma twierdzi, że systemy, środki klientów, kody dostępu, dane logowania i dane biometryczne nie zostały naruszone.
- Revolut poinformował o sprawie dotkniętych klientów, władze i organy nadzoru, a policja prowadzi dochodzenie w sprawie użytej domeny rządowej.
Revolut potwierdził, że napastnik za pośrednictwem fałszywej wiadomości zdołał uzyskać dostęp do plików klientów, w tym paszportów, selfie i zapisów Bitcoin. Według firmy był to zaawansowany atak, ale w istocie zaczął się od e-maila, który wyglądał na wysłany z prawdziwej domeny rządowej. Revolut twierdzi, że natychmiast zablokował nadawcę po wykryciu problemu.
Fałszywy e-mail wyglądał na prawdziwy
Według Revolut nieuprawniona strona trzecia użyła adresu e-mail instytucji rządowej, który wyglądał na legalny, aby składać fałszywe wnioski. Firma twierdzi, że jej systemy i środki klientów nie zostały naruszone. Nie miały też zostać ujawnione kody dostępu, dane logowania ani dane biometryczne.
Mimo to zgłoszenia kierowane do klientów pokazują szerszy obraz. Wśród ujawnionych danych znajdują się między innymi paszporty, prawa jazdy, adresy domowe, wyciągi bankowe oraz pełny przegląd transakcji Bitcoin. Revolut nie chce ujawnić, z jakiej domeny rządowej skorzystano, ponieważ nadal trwa policyjne dochodzenie.
Co dokładnie wyciekło
Bank twierdzi, że dotknięta została jedynie ograniczona grupa klientów i że poinformował osoby, których sprawa dotyczy. Powiadomiono też władze, policję oraz organy nadzoru ds. ochrony danych i finansów. Badacz blockchaina ZachXBT wcześniej zwrócił uwagę na wycieki i powiedział, że chodziło o niewielką grupę użytkowników, być może z uwzględnieniem klientów zamożnych.
Sprawa wpisuje się w szerszą falę oszustw e-mailowych i ataków impersonacyjnych. Microsoft odnotował na początku 2026 roku na przykład wyraźny wzrost ataków typu business email compromise, czyli rodzaju oszustwa, w którym przestępcy podszywają się pod zaufaną stronę, aby wyłudzić informacje. Organy nadzoru i firmy z branży cyberbezpieczeństwa ostrzegają też, że takie ataki coraz częściej łączą się z social engineering i skradzionymi danymi logowania.
Także w innych firmach kryptowalutowych widać, jak wrażliwe są dane tożsamościowe. Systemy KYC i ID pozostają atrakcyjnym celem właśnie dlatego, że takie zbiory danych ujawniają znacznie więcej niż samo hasło.
Dlaczego ma to znaczenie dla krypto
Dla użytkowników kryptowalut jest to szczególnie istotne, ponieważ dane tożsamościowe i historia transakcji często wystarczają do precyzyjnego phishingu. Hasło można zmienić, ale numeru paszportu czy adresu domowego już nie. Właśnie w krypto, gdzie kwoty i posiadane aktywa bywają widoczne lub możliwe do wywnioskowania, taki wyciek danych może być szczególnie podatny na dalsze oszustwa.
