La mijlocul lunii septembrie 2026, Revolut a confirmat un incident de securitate cu implicații majore pentru industria fintech: banca digitală britanică a transmis pachete extinse de date confidențiale ale unor clienți către un actor malițios, convinsă fiind că răspunde unei solicitări legitime venite din partea unei agenții guvernamentale. Spre deosebire de breșele clasice, produse prin malware sau exploatarea unor vulnerabilități software, în acest caz compania a extras și expediat voluntar informațiile, prin canalele standard de asistență administrativă.
Cronologia unei fraude descoperite prea târziu
Atacatorul nu a folosit domenii false sau tehnici de typosquatting, ci a avut acces direct la infrastructura internă a unei agenții guvernamentale reale — fie printr-o căsuță poștală neautorizată, fie prin compromiterea contului unui funcționar. Solicitarea trimisă către departamentul de conformitate al Revolut a trecut toate verificările tehnice standard: protocoalele SPF, DKIM și DMARC au confirmat originea autentică a mesajului, iar echipa de conformitate a procesat cererea fără o verificare suplimentară prin canal separat.
Primele semnale de alarmă au ajuns la clienții afectați pe 11 septembrie, în jurul orei 22:00, ora României, sub forma unor mesaje de tip „actualizare urgentă de securitate”. Printre destinatari s-a numărat și Mark Karpelès, fostul director executiv al platformei Mt. Gox, care a confirmat public că a fost vizat de atac. A doua zi dimineață, cazul a fost semnalat de analistul on-chain ZachXBT, iar în aceeași după-amiază Revolut a confirmat oficial breșa pentru presa internațională de specialitate.
Ce date au ajuns la atacatori
Pachetul exfiltrat conține aproape întregul dosar de verificare a identității (KYC) al clienților vizați: nume complet, data nașterii, ocupația, adresa de domiciliu, numărul de telefon, adresa de e-mail, copii ale actelor de identitate, fotografia de tip selfie folosită la deschiderea contului, extrase bancare complete, coduri IBAN, precum și istoricul integral al tranzacțiilor în Bitcoin.
Nu au fost compromise parolele de acces, codurile PIN sau CVV, cheile private criptografice ori fondurile propriu-zise — atacatorii nu au putut sustrage bani direct din conturi. Profilul victimelor sugerează însă o selecție deliberată: persoane cu active financiare ridicate, ceea ce a alimentat temerile privind riscul de extorcare fizică pentru deținătorii de criptomonede. Revolut a vorbit despre un „număr limitat” de clienți afectați, fără să precizeze cifra exactă, jurisdicțiile vizate sau numele agenției guvernamentale a cărei identitate a fost uzurpată — o reținere criticată în mediul de securitate cibernetică, întrucât împiedică alte instituții financiare să verifice dacă aceeași căsuță poștală compromisă a fost folosită și în alte tentative de fraudă.
Vulnerabilitate procedurală, nu tehnică
Tehnica folosită este cunoscută drept Law Enforcement Email Compromise (LEEC) și exploatează procedura legitimă a solicitărilor de date de urgență (Emergency Data Requests), prin care autoritățile pot cere acces rapid la informații financiare în situații de risc iminent, ocolind mandatul judecătoresc clasic. Eroarea Revolut a constat în confuzia dintre autentificarea tehnică a domeniului expeditor și autorizarea legală reală a persoanei care a formulat cererea — filtrele de securitate pot confirma doar originea mesajului, nu și legitimitatea celui care îl trimite.
Compania a precizat că este vorba despre o fraudă externă, prin uzurpare de identitate, și că sistemele sale centrale și fondurile clienților nu au fost accesate direct. Printre măsurile luate se numără izolarea adresei de e-mail sursă, notificarea agenției guvernamentale afectate, sesizarea autorităților de aplicare a legii și a celor de protecție a datelor, precum și informarea directă a clienților vizați.
Riscuri pentru sectorul bancar și pentru piața din România
Sub incidența GDPR, transferul de date personale către o entitate neautorizată constituie o încălcare de securitate chiar și atunci când provine dintr-o eroare de bună-credință, iar articolul 32 din regulament impune operatorilor măsuri tehnice și organizatorice adecvate. Revolut operează în Uniunea Europeană printr-o licență bancară acordată în Lituania, sub supravegherea autorității de protecție a datelor de la Vilnius, dar incidentul are un impact direct și asupra pieței din România, unde banca deservește între 4,5 și 5 milioane de clienți.
Episodul survine într-un moment sensibil pentru compania britanică, aflată în plin proces de obținere a unei licențe bancare naționale în Statele Unite și în pregătirea unei oferte publice inițiale cu o evaluare estimată la 200 de miliarde de dolari — un context în care riscurile operaționale nerezolvate pot influența percepția investitorilor instituționali. Specialiștii avertizează că datele scurse — documente de identitate, istoricul tranzacțional, adresa de domiciliu corelată cu dețineri de criptomonede — nu pot fi „resetate” precum o parolă sau un card bancar compromis. Riscurile secundare includ spear-phishing personalizat, furt de identitate, deturnarea numărului de telefon prin SIM-swap și, în cazurile cele mai grave, tentative de extorcare fizică.
Cazul Revolut nu este singular: tehnici similare de falsificare a solicitărilor de urgență au fost folosite în trecut împotriva unor companii precum Apple, Meta sau Discord, iar FBI a avertizat încă din 2024 cu privire la proliferarea comerțului cu conturi guvernamentale compromise pe forumurile de criminalitate cibernetică. Incidentul readuce în discuție necesitatea trecerii de la corespondența pe e-mail la portaluri judiciare centralizate, cu autentificare multifactorială și verificare automată a solicitărilor la nivelul ministerelor de justiție.
