Revolut a trimis date de client unui impostor care scria de pe un domeniu guvernamental real

Revolut a confirmat în 12–14 septembrie 2026 că a fost ținta unei scheme de impersonare externă: un terț neautorizat a folosit adresa de e-mail a unui domeniu guvernamental legitim pentru a trimite cereri frauduloase de informații despre clienți. Compania descrie incidentul ca pe o schemă sofisticată de impersonare, spune că a blocat adresa după detectare și că a anunțat agenția guvernamentală vizată, organele de aplicare a legii, autoritățile de protecție a datelor și reglementatorii financiari.

Ce este confirmat și ce nu

• Confirmat de Revolut: un terț neautorizat a folosit un domeniu de e-mail guvernamental legitim pentru a trimite cereri frauduloase de informații.
• Confirmat de Revolut: adresa a fost blocată, iar agenția guvernamentală, autoritățile de aplicare a legii, cele de protecție a datelor și reglementatorii financiari au fost informați.
• Confirmat de Revolut: sistemele companiei și fondurile clienților nu au fost afectate, iar clienții vizați au fost contactați direct.
• Raportat de BleepingComputer, SecurityWeek și The Record: datele ar include nume, data nașterii, ocupația, adresa poștală și de e-mail, telefonul, copii după pașaport sau permis de conducere, selfie-uri de verificare, extrase de cont cu IBAN, istoricul retragerilor și al tranzacțiilor, inclusiv cele cu criptomonede.
• Neconfirmat: numărul persoanelor afectate. Revolut spune doar că este vorba de un număr limitat de clienți și nu a publicat o cifră.
• Neconfirmat: ce agenție a fost impersonată. Revolut a refuzat să o numească. The Record scrie că indiciile ar trimite către un domeniu guvernamental italian, dar acest lucru nu a fost confirmat public.
• Neconfirmat: dacă aceeași adresă a fost folosită și împotriva altor instituții financiare și dacă au existat cereri de extorcare ulterioare.

Cercetătorul ZachXBT, citat de BleepingComputer și TechCrunch, afirmă că vizate ar fi fost mai ales persoane cu averi mari, active în zona de criptomonede. Este o observație a unui terț, nu o confirmare a companiei. Reține diferența: pentru un angajat care primește mâine o cerere similară, profilul presupus al victimelor nu schimbă nimic din procedura corectă.

De ce nu a funcționat instinctul obișnuit

Sfatul repetat în orice curs de bază este „verifică expeditorul”. Aici expeditorul chiar era cine pretindea că este, la nivel de domeniu. Potrivit relatărilor, mesajul avea autentificarea tehnică a domeniului în regulă, iar personalul a acționat crezând în mod rezonabil că este o solicitare autentică a unei agenții guvernamentale.

Aici este miezul lecției. SPF, DKIM și DMARC demonstrează că un mesaj a plecat dintr-un domeniu autorizat să trimită pentru acel domeniu. Nu demonstrează că persoana din spatele tastaturii are dreptul să ceară datele respective, că mandatul legal invocat există sau că adresa nu a fost compromisă. Autentificarea domeniului este o dovadă despre infrastructură, nu despre autoritate.

Cine primește cereri de acest tip în compania ta

Mulți manageri presupun că solicitările de la autorități ajung doar la departamentul juridic. În practică, ele intră prin canale mult mai variate, iar cei care le primesc nu au întotdeauna un procedeu scris la îndemână.

• Suportul pentru clienți și call centerul, unde o cerere „urgentă” poate părea o simplă escaladare.
• Responsabilul cu protecția datelor și echipa juridică, singurii care de obicei au un proces formal.
• Resurse umane, pentru date despre angajați, salarii, contracte sau prezență.
• Financiar și contabilitate, pentru extrase, facturi, date despre plăți și conturi.
• IT și help desk, pentru loguri, date de conectare, conținut de mailbox sau exporturi.
• Conducerea executivă, care poate fi contactată direct tocmai ca să scurtcircuiteze procedura.

Procedura care oprește o cerere falsă

• Un singur punct de intrare: orice solicitare venită din partea unei autorități, indiferent pe ce canal ajunge, se redirecționează către o adresă sau o casetă unică, documentată. Nimeni nu răspunde direct.
• Verificare pe canal independent: confirmarea se face sunând la numărul public al instituției, nu la numărul, adresa sau linkul din mesaj. Contactul se caută separat, nu se preia din cerere.
• Verificarea temeiului, nu a formei: ce articol de lege, ce dosar, ce instanță sau ce autoritate anume, în ce calitate și pentru ce set exact de date. O cerere legitimă suportă aceste întrebări.
• Dublu control pentru date sensibile: nicio transmitere de acte de identitate, selfie-uri de verificare, extrase de cont sau istoric de tranzacții fără aprobarea a doi oameni, dintre care unul din zona juridică.
• Urgența nu scurtează procesul, ci îl escaladează: dacă solicitarea este cu adevărat urgentă, se cheamă responsabilul de gardă, nu se sare peste verificare.
• Minimizare: se răspunde exact la ce s-a cerut și se documentează ce s-a transmis, cui, când și în baza cărei aprobări.
• Jurnalizare și revizuire: cererile onorate se revizuiesc periodic, astfel încât un tipar anormal — aceeași adresă, aceleași profiluri de clienți — să fie observat.

Exercițiul: patru injecturi de 45 de minute

Rulează scenariul cu suport, juridic, responsabilul cu protecția datelor, HR, financiar și un reprezentant al conducerii. Nu prezenta tot cazul de la început. Pentru fiecare etapă cere aceleași cinci lucruri: decizia, responsabilul, termenul, dovada și pragul de escaladare.

• Injectul 1 — un e-mail de pe domeniul unei autorități reale cere, într-un dosar penal, datele de identificare ale unui client. Antetul este corect. Cine răspunde și în cât timp?
• Injectul 2 — expeditorul insistă, invocă un termen de câteva ore și cere copii după actul de identitate și extrase de cont. Ce se transmite până la confirmarea independentă?
• Injectul 3 — la verificarea pe canal public, instituția spune că nu are cunoștință de solicitare. Ce faci cu ce a fost deja trimis, pe cine anunți și în cât timp?
• Injectul 4 — se confirmă că datele unor clienți au ajuns la un terț. Cine decide notificarea persoanelor vizate și a autorității de supraveghere și pe ce bază se calculează termenul?

Ce măsori după exercițiu

• Procentul de participanți care redirecționează cererea către punctul unic în loc să răspundă direct.
• Timpul până la prima verificare pe un canal independent de mesajul primit.
• Numărul de cazuri în care cineva a căutat contactul instituției separat, nu în semnătura e-mailului.
• Câte date ar fi fost transmise înainte de confirmare, pe categorii.
• Timpul până la decizia de notificare și calitatea cronologiei: ce s-a trimis, cui, când, cu ce aprobare.
• Numărul de pași sau contacte lipsă descoperite în procedura scrisă.

Lecția pentru angajați, ca persoane private

Incidentul arată și ceva incomod pentru utilizatorul obișnuit: datele tale pot ajunge la un atacator fără ca aplicația ta să fie spartă și fără ca parola ta să fie compromisă. Dacă primești o notificare de la un furnizor financiar că datele tale au fost transmise unui terț, tratează perioada următoare ca pe una cu risc crescut de fraudă țintită — mesaje care știu detalii reale despre tine sunt mult mai convingătoare. Verifică orice contact ulterior prin aplicația oficială sau prin numărul de pe card, niciodată prin linkul sau numărul din mesajul primit.

Un rezultat bun al exercițiului nu este o echipă care a memorat numele Revolut. Este o echipă în care nimeni nu trimite acte de identitate pe baza unui antet corect, iar întrebarea „pe ce temei și cine confirmă?” se pune fără ca nimeni să se simtă obstrucționist.