تكشف Revolut عن اختراق بيانات بعد انتحال محتالين لهوية وكالة حكومية لاستخراج بيانات KYC للعملاء

كشفت Revolut في 12 سبتمبر أن محتالين انتحلوا صفة وكالة حكومية لخداع الشركة المالية للإفصاح عن بيانات حساسة للعملاء، بما في ذلك نسخ من جوازات السفر ورخص القيادة وصور التحقق من الهوية وسجلات المعاملات الكاملة. على عكس معظم اختراقات التقنية المالية هذا العام، لم يتم اختراق أي خادم ولم تُسرق أي كلمة مرور — بل طلب المهاجم البيانات ببساطة باستخدام حساب بريد إلكتروني حكومي مسروق لكنه يبدو حقيقيًا.

يوضح هذا الحادث فئة متنامية من الاحتيال يسميها خبراء الأمن "إساءة استخدام القناة الموثوقة": فبدلاً من اختراق نظام، يخترق المهاجم أو ينتحل قناة تثق بها الشركة بالفعل — في هذه الحالة طلبات البيانات الرسمية من جهات إنفاذ القانون — ويترك عملية الامتثال الخاصة بالهدف تقوم بعمل الاستخراج.

كيف تم الاحتيال

وفقًا لـ Revolut وتقرير TechCrunch، حصل طرف ثالث غير مصرح له على حساب بريد إلكتروني تابع لوكالة حكومية شرعية أو انتحله بشكل مقنع. أدى الطلب الاحتيالي إلى الكشف عن الأسماء الكاملة وتواريخ الميلاد والعناوين البريدية وأرقام الهواتف والمهن لمجموعة من العملاء. والأخطر من ذلك، حصل المهاجم أيضًا على نسخ من وثائق الهوية الحكومية — جوازات السفر ورخص القيادة — إلى جانب صور التحقق من الهوية. كما تم الكشف عن السجلات المالية بما في ذلك كشوف الحسابات وأرقام IBAN وسجلات المعاملات، بما في ذلك سجل معاملات العملات المشفرة وفقًا للتقارير.

من كان المستهدف

أكدت Revolut فقط أن "عددًا محدودًا" من العملاء تأثروا. قيّم الباحث في العملات المشفرة ZachXBT أن نمط البيانات المكشوفة — وثائق KYC مقترنة بسجلات معاملات بيتكوين مفصلة — يشير إلى عملية مستهدفة تهدف إلى بناء ملفات تعريف لأفراد ذوي ثروات عالية.

استجابة Revolut

تقول Revolut إنها حددت المخطط الاحتيالي وحظرت عنوان البريد الإلكتروني المخترق، ثم أخطرت العملاء المتأثرين مباشرة. كما نبّهت الشركة الوكالة الحكومية التي أُسيء استخدام هويتها، وجهات إنفاذ القانون والجهات التنظيمية المالية. تؤكد Revolut أن أنظمتها الأساسية وبنيتها التحتية وأموال العملاء لم تتأثر.

لماذا يهم هذا الأمر إلى ما هو أبعد من Revolut

تدير كل مؤسسة مالية خاضعة للتنظيم خط أنابيب مشابهًا: يمكن لجهات إنفاذ القانون والهيئات الحكومية إلزام الشركات بالكشف عن بيانات العملاء. يجب على المؤسسات المالية اعتبار التحقق المستقل من الجهة الطالبة — عبر مكالمة هاتفية إلى رقم معروف، وليس ردًا على البريد الإلكتروني نفسه — إلزاميًا وليس اختياريًا.