Revolut przekazał dane klientów oszustowi. Paszporty, selfie i historia Bitcoina trafiły w niepowołane ręce

Revolut nie został klasycznie zhakowany. Stało się coś pod pewnym względem bardziej absurdalnego: oszust wysłał żądanie informacji z prawdziwej domeny instytucji rządowej, a fintech uznał je za autentyczne i przekazał dane klientów.

Nie było włamania do aplikacji. Nie przejęto serwerów. Nie skradziono sesji klienta. Nie złamano MFA.

Ktoś wysłał do Revoluta żądanie udostępnienia danych wyglądające jak oficjalny wniosek instytucji państwowej. Problem w tym, że wiadomość nie przyszła nawet z domeny podobnej do rządowej.

Przyszła z prawdziwej domeny instytucji rządowej.

Revolut uznał wniosek za autentyczny i przekazał dane.

Według informacji przekazanych poszkodowanym w grę mogły wchodzić kopie paszportów i praw jazdy, selfie wykonane podczas KYC, adresy, telefony, e-maile, IBAN-y, wyciągi, historia wypłat oraz pełna historia transakcji, w tym transakcje związane z Bitcoinem.

Co dokładnie wydarzyło się w Revolut?

Revolut potwierdza: ktoś wykorzystał prawdziwą domenę urzędu

Revolut opisuje zdarzenie jako „sophisticated external impersonation scam”.

Firma podkreśla, że infrastruktura Revoluta nie została naruszona, a środki klientów pozostały bezpieczne. Po wykryciu problemu adres został zablokowany, a o incydencie powiadomiono odpowiednią instytucję państwową, organy ścigania oraz regulatorów.

Technicznie to może być prawda.

Ale stwierdzenie „nasze systemy nie zostały naruszone” nie rozwiązuje najważniejszego problemu bezpieczeństwa.

Jeżeli procedura pozwala pobrać szeroki pakiet danych klienta i przekazać go oszustowi tylko dlatego, że wiadomość wygląda wystarczająco autentycznie, problem nadal istnieje.

Tyle że nie znajduje się w firewallu.

Znajduje się w procedurze.

Najbardziej absurdalne: „sprawdź domenę” już nie wystarcza

Przez lata jedną z podstawowych zasad bezpieczeństwa było:

• sprawdź adres nadawcy,
• sprawdź domenę,
• upewnij się, że wiadomość faktycznie pochodzi z oficjalnej infrastruktury.

Tutaj to mogło nie wystarczyć.

Według informacji przekazywanych klientom wiadomość pochodziła z nieautoryzowanej skrzynki stworzonej bezpośrednio wewnątrz domeny oficjalnej instytucji i posiadała prawidłowe mechanizmy uwierzytelnienia.

Jakie dane mogły zostać przekazane?

Bitcoin jest tutaj szczególnie ważny

W przypadku zwykłego incydentu bankowego można zmienić hasło, zastrzec kartę albo zamknąć konto.

Z blockchainem sytuacja wygląda inaczej.

Bitcoin działa na publicznym blockchainie. Prywatność użytkownika opiera się między innymi na tym, że zewnętrzny obserwator nie zawsze wie, do kogo należą konkretne adresy.

Jeżeli ktoś otrzyma historię wypłat kryptowalut i jednocześnie kompletny zestaw danych KYC, może próbować powiązać konkretne adresy z prawdziwą osobą.

Takiego połączenia nie da się później cofnąć zmianą hasła.

ZachXBT i Mark Karpelès nagłaśniają sprawę

Jedną z osób, które mocno nagłośniły incydent, był ZachXBT, jeden z najbardziej znanych niezależnych śledczych on-chain.

Według jego oceny skala wyglądała na ograniczoną, a atak mógł być wymierzony przede wszystkim w klientów high-net-worth.

Trzeba jednak podkreślić, że jest to ocena ZachXBT, a nie oficjalnie potwierdzony przez Revolut fakt.

Mark Karpelès, były CEO Mt. Gox, poinformował z kolei, że otrzymał od Revoluta wiadomość zatytułowaną „Urgent security update about your Revolut account”.

To właśnie publikowane przez klientów fragmenty powiadomień pozwoliły początkowo zrozumieć, jak szeroki zakres informacji mógł zostać ujawniony.

Kilka dni wcześniej sam miałem bardzo dziwną sytuację z Revolutem

Dla mnie cała historia ma jeszcze jeden interesujący kontekst.

Zaledwie kilka dni wcześniej publicznie opisywałem własny problem z Revolutem.

Po niemal ośmiu latach korzystania z usługi otrzymałem informację, że moje konto zostanie zamknięte 28 października 2026 roku.

Nie dostałem konkretnego wyjaśnienia, jaka dokładnie aktywność spowodowała taką decyzję.

Złożyłem odwołanie i formalną reklamację. Deklarowałem również gotowość przedstawienia dokumentów potwierdzających źródło środków, charakter wykonywanych transakcji oraz prowadzoną działalność.

Początkowo stanowisko Revoluta się nie zmieniło. Decyzja o zamknięciu konta została podtrzymana.

W międzyczasie opisałem całą sytuację publicznie.

I właśnie wtedy wydarzyła się rzecz, która do dziś pozostaje dla mnie zastanawiająca: po wcześniejszym podtrzymaniu decyzji o zamknięciu konta Revolut ostatecznie zmienił stanowisko.

Konto miało pozostać otwarte, a firma potwierdziła, że zachowuję pełny, nieograniczony dostęp.

Sama ta sytuacja pokazała mi, jak trudno czasami ustalić, dlaczego w dużej instytucji finansowej zapada konkretna decyzja i na którym etapie systemu zostaje ona później ponownie oceniona.

A kilka dni później pojawia się sprawa zdecydowanie poważniejsza: okazuje się, że w zupełnie innym obszarze ktoś był w stanie wykorzystać zaufanie do oficjalnego kanału i doprowadzić do przekazania wrażliwych danych klientów.

To oczywiście nie oznacza, że obie sprawy mają wspólną przyczynę.

Pokazuje jednak bardzo dobrze, dlaczego w finansach nie wystarczy samo automatyzowanie procesów. Potrzebna jest jeszcze skuteczna kontrola, możliwość eskalacji i niezależna weryfikacja sytuacji, zanim wydarzy się coś nieodwracalnego.

I wtedy robi się jeszcze dziwniej: Trezor, BitBox i CoinTracking

Incydent Revoluta nie wydarzył się w próżni.

W bardzo podobnym czasie użytkownicy związani z branżą kryptowalutową otrzymywali phishing podszywający się między innymi pod Trezor, BitBox i CoinTracking.

Atak był związany z przejęciem infrastruktury dostawcy e-mailowego Brevo.

W przypadku Trezora fałszywy alert bezpieczeństwa trafił do setek tysięcy adresów, a część użytkowników zdążyła kliknąć złośliwy link.

I tutaj pojawia się bardzo ważny wspólny mianownik.

„Oficjalny nadawca” przestał być wystarczającym dowodem autentyczności.

To bardzo ważna zmiana w sposobie myślenia o bezpieczeństwie.

Przez lata użytkownikom powtarzano: sprawdź domenę, sprawdź nadawcę, sprawdź, czy wiadomość naprawdę pochodzi od firmy.

Nadal warto to robić.

Ale teraz dochodzi jeszcze jedna zasada:

nawet poprawna domena nie jest już wystarczającą gwarancją, że wiadomość jest prawdziwa.

Co zrobić, jeśli dostałeś powiadomienie Revoluta?

Czy wszyscy klienci Revoluta zostali dotknięci?

Nie ma na to żadnych dowodów.

Revolut mówi o ograniczonej liczbie klientów.

Firma nie podała jednak dokładnej liczby poszkodowanych, kraju ani nazwy instytucji, której domena została wykorzystana.

ZachXBT sugeruje, że atak mógł być ukierunkowany na klientów high-net-worth, ale nie jest to oficjalnie potwierdzona informacja.

Czy pieniądze klientów zostały skradzione?

Na ten moment nie ma informacji wskazujących, że w wyniku tego konkretnego incydentu bezpośrednio skradziono środki klientów.

Największe ryzyko może pojawić się dopiero później.

• phishing,
• vishing,
• podszywanie się pod support,
• kradzież tożsamości,
• próby otwierania kont lub obchodzenia procedur KYC,
• łączenie prawdziwej tożsamości z aktywnością blockchain.

Czy Revolut został zhakowany?

Nie w klasycznym znaczeniu tego słowa.

Według dostępnych informacji nikt nie przejął infrastruktury Revoluta ani nie włamał się do jego systemów w celu wykradzenia danych klientów.

Firma została jednak oszukana i sama przekazała dane stronie nieuprawnionej.

Dla osoby, której paszport, selfie, adres, IBAN i historia transakcji znalazły się poza kontrolą banku, różnica pomiędzy „hacked” a „handed over” jest przede wszystkim różnicą techniczną.

Danych nie da się odzyskać ani zmienić tak łatwo jak hasła.

Materiał ma charakter informacyjny i opisuje stan wiedzy na 13 września 2026 r. Część informacji dotyczących potencjalnego zakresu danych pochodzi z powiadomień otrzymanych przez klientów oraz publicznych wypowiedzi osób dotkniętych incydentem.