Do ataku doszło 4 i 5 września. DriveWealth poinformował, że sprawca dostał się do fragmentu jego infrastruktury w wyniku kampanii socjotechnicznej. Firma zaznacza jednocześnie, że nie doszło do ingerencji w produkcyjne systemy maklerskie. Nie odnotowano też nieautoryzowanych transakcji, wypłat ani transferów papierów wartościowych.

Kolejny wyciek danych klientów Revoluta

Klienci Revoluta zaczęli otrzymywać informacje o incydencie w czwartek, 24 września. Z komunikatu wynika, że ujawnione mogły zostać m.in. imiona i nazwiska, adresy e-mail, numery telefonu oraz adresy pocztowe. Przestępcy mogli uzyskać również informacje o zatrudnieniu, obywatelstwie, wieku i płci, a także fragment numeru rachunku prowadzonego przez DriveWealth.

Revolut podkreśla, że atakujący nie uzyskali dostępu do jego własnych systemów. Incydent nie objął również haseł i kodów dostępu do Revoluta, danych kart płatniczych, numerów rachunków bankowych ani dokumentów tożsamości. Według informacji przekazywanych klientom ich środki i inwestycje pozostają bezpieczne.

Dlaczego dane klientów Revoluta były w systemach DriveWealth? Amerykańska firma dostarcza instytucjom finansowym infrastrukturę brokerską. Dzięki temu banki i fintechy mogą oferować klientom inwestowanie m.in. w amerykańskie akcje, bez konieczności samodzielnego budowania całego zaplecza maklerskiego. Z usług DriveWealth korzystał również Revolut.

Z komunikatu Revoluta wynika, że przestał on przekazywać DriveWealth nowe dane klientów w grudniu 2023 roku, po zmianie modelu obsługi inwestycji. Obecny incydent dotyczy więc osób z EOG (czyli także z Polski), których wcześniejsze, historyczne dane nadal znajdowały się w systemach amerykańskiego brokera.

– DriveWealth, amerykański broker świadczący usługi handlu akcjami w USA dla klientów Revolut, poinformował nas, że nieupoważniona strona uzyskała dostęp do danych klientów przechowywanych w jego systemach. Systemy i infrastruktura Revolut nie zostały naruszone ani uszkodzone, a środki i inwestycje klientów są bezpieczne. Żadne hasła, kody dostępu, dane kart płatniczych ani dokumenty tożsamości w Revolut nie zostały ujawnione – oświadczył rzecznik Revoluta.

– W Stanach Zjednoczonych incydent dotyczy klientów korzystających z handlu akcjami w kraju. W Wielkiej Brytanii, EOG i Australii dotyczy on archiwalnych rekordów z okresu przed zmianą naszego modelu handlu akcjami w USA. Zmiany te wprowadzaliśmy między grudniem 2023 r. a czerwcem 2025 r. w zależności od rynku. Od tamtej pory dane osobowe poszczególnych klientów na tych rynkach nie były udostępniane DriveWealth i w związku z tym nie zostały naruszone – dodał.

– DriveWealth skontaktował się bezpośrednio z poszkodowanymi klientami, a my wysłaliśmy własne wiadomości e-mail, aby wyjaśnić, co to dla nich oznacza. Jeśli nie otrzymałeś wiadomości e-mail, problem Cię nie dotyczy – wyjaśnia rzecznik.

To kolejny wyciek danych klientów Revoluta w ostatnich tygodniach. W poprzedniej sprawie informacje dotyczące około 680 osób trafiły do oszustów, którzy wysłali fałszywe wiadomości z przejętej skrzynki należącej do serwisów rządowych.

Kilka dni temu pisaliśmy, że Revolut uruchamia w Wielkiej Brytanii nową funkcję o nazwie Revolut Pay with Smile. Pozwala ona autoryzować płatność za pomocą rozpoznawania twarzy. Klient nie musi wyciągać telefonu, karty ani portfela – wystarczy spojrzeć w ekran terminala.