Banka thotë se vetëm një numër i kufizuar personash janë prekur dhe nuk ka bërë të ditur sa janë ata apo në cilat vende ndodhen.

Revolut u ka dhënë kriminelëve të dhëna personale të klientëve, pasi këta të fundit i kishin kërkuar ato përmes një adrese që dukej se i përkiste një institucioni qeveritar. Arsyeja pse kërkesa u konsiderua e besueshme ishte se adresa e email-it ishte e vërtetë.

Kompania e ka konfirmuar shkeljen e sigurisë dhe ka deklaruar se sistemet e saj nuk janë prekur.

Një zëdhënës i Revolut i tha TechCrunch se kompania kishte “identifikuar një skemë të sofistikuar, ku një palë e tretë e paautorizuar përdori një domain legjitim email-i të një agjencie qeveritare për të paraqitur kërkesa mashtruese për informacion”, duke shtuar se “sistemet e Revolut dhe fondet e klientëve nuk janë prekur”.

Megjithatë, rëndësi ka se çfarë të dhënash u dorëzuan. Mes tyre përfshiheshin datat e lindjes, adresat postare, adresat e email-it dhe numrat e telefonit, si edhe dokumente identifikimi, përfshirë pasaportat dhe lejet e drejtimit.

Sipas TechCrunch, mund të jenë dorëzuar gjithashtu fotografitë selfie të përdorura për verifikimin e identitetit, pasqyrat e llogarive dhe historiku i transaksioneve. Praktikisht, këto të dhëna përbëjnë pothuajse gjithçka që do t’i duhej dikujt për t’u paraqitur si një klient i Revolut në një institucion tjetër dhe, ndryshe nga një fjalëkalim, ato nuk mund të ndryshohen.

Bankat marrin rregullisht kërkesa nga policia dhe agjencitë qeveritare, ndonjëherë edhe me karakter urgjent, dhe punonjësit trajnohen që t’i konsiderojnë ato si legjitime.

Një sulmues që mund të dërgojë mesazhe nga një domain i vërtetë qeveritar shmang të gjitha kontrollet që do të zbulonin një dokument apo letër të falsifikuar. Kjo është një dobësi e njohur në mënyrën se si organet e zbatimit të ligjit u kërkojnë kompanive të dhëna dhe funksionon pikërisht sepse alternativa, pra trajtimi i çdo kërkese zyrtare si të dyshimtë, nuk është diçka që një bankë dëshiron ta bëjë.

Revolut thotë se e bllokoi adresën sapo kuptoi se çfarë po ndodhte, njoftoi klientët e përfshirë, informoi agjencinë qeveritare, domain-i i së cilës ishte përdorur, dhe kontaktoi organet e zbatimit të ligjit dhe rregullatorët financiarë.

Kompania nuk ka bërë të ditur se sa persona janë prekur, përtej përcaktimit se numri i tyre është “i kufizuar”, dhe nuk ka identifikuar tregjet ku ndodhen ata. Gjithashtu, nuk ka bërë të ditur se domain-i i cilës agjenci është keqpërdorur, si arritën sulmuesit të merrnin akses në të, për sa kohë vazhduan kërkesat përpara se të zbuloheshin, apo nëse vetë agjencia ishte komprometuar.

Dyshohet se në shënjestër kanë qenë klientët e pasur të bankës. Kompania ka lançuar një bankë private me prag hyrës prej 500 mijë paundësh, të orientuar pikërisht drejt këtij profili klientësh, si pjesë e synimit për t’u drejtuar drejt një listimi me vlerë 200 miliardë dollarë.

Shkalla e operacioneve të Revolut është ajo që e bën këtë ngjarje me interes më shumë sesa thjesht një incident të pafat. Revolut arriti këtë vit një vlerësim prej 115 miliardë dollarësh, zotëron licenca bankare në Mbretërinë e Bashkuar dhe Francë dhe ka deklaruar se oferta publike fillestare (IPO) është rreth dy vjet larg. Kompania është paralajmëruar më parë edhe nga Banka Qendrore Europiane që të ngadalësojë ritmin e hedhjes në treg të produkteve të reja.

Ekziston gjithashtu një afat ligjor që lidhet me raportimin e incidentit. Rregullat europiane për mbrojtjen e të dhënave u japin kompanive 72 orë nga momenti kur marrin dijeni për një shkelje të të dhënave personale për të njoftuar autoritetin mbikëqyrës dhe u kërkojnë që të informojnë drejtpërdrejt individët e prekur kur rreziku për ta është i lartë. Revolut thotë se i ka përmbushur të dyja këto detyrime.

Ajo që rregullat nuk kërkojnë është informimi i të gjithë publikut. Për këtë arsye, deri tani shpjegimi publik i ngjarjes kufizohet në një deklaratë të shkurtër të një zëdhënësi dhe në postimin e një hetuesi.

Klientët që janë kontaktuar duhet ta konsiderojnë materialin e ekspozuar si të bërë publik përgjithmonë. Rreziku praktik nuk është domosdoshmërisht që dikush t’u zbrazë llogarinë, diçka që Revolut thotë se nuk ka ndodhur, por një rrezik më i ngadaltë dhe afatgjatë: dokumentet e identitetit dhe një selfie e verifikuar përbëjnë materialin bazë për hapjen e kredive diku tjetër ose për krijimin e një mashtrimi bindës nga dikush që tashmë njeh adresën, numrin e telefonit dhe mënyrën se si një person shpenzon paratë e tij.

Asgjë nga kjo nuk kërkoi depërtim në sistemet e Revolut. Nuk pati malware, kredenciale të vjedhura apo ndonjë shfrytëzim teknik të sofistikuar. Dikush dërgoi email-e nga një adresë që njerëzit ishin trajnuar ta konsideronin të besueshme dhe një prej bankave më të mëdha të Europës iu përgjigj atyre.

Kjo është pjesa më shqetësuese dhe nuk është një problem që Revolut mund ta zgjidhë e vetme, sepse besimi që u shfrytëzua në këtë rast i përket institucioneve qeveritare dhe jo bankave. / TNW