Revolut lộ dữ liệu khách hàng — kẻ gian chỉ cần một email tên miền chính phủ
Không mã độc, không zero-day. Kẻ tấn công gửi yêu cầu cung cấp thông tin từ một email tên miền cơ quan nhà nước hợp lệ, và ngân hàng số 80 triệu khách đã trao dữ liệu.
Fintech Anh quốc Revolut vừa xác nhận đã cung cấp thông tin nhạy cảm của khách hàng cho một bên thứ ba trái phép, sau khi nhận được các yêu cầu giả mạo gửi từ một tên miền email cơ quan chính phủ hợp lệ.
Dữ liệu bị lộ không hề nhẹ: ngày sinh, địa chỉ nhà và email, số điện thoại, kèm bản sao giấy tờ tùy thân gồm hộ chiếu và bằng lái. Theo thông báo Revolut gửi khách hàng mà TechCrunch xem được, dữ liệu còn có thể bao gồm cả ảnh selfie xác minh, sao kê tài khoản và lịch sử giao dịch.
Đáng sợ ở chỗ nó không phải một vụ hack
Phát ngôn viên Revolut mô tả đây là “một chiêu mạo danh tinh vi từ bên ngoài”, nói chỉ “một số lượng hạn chế” khách hàng bị ảnh hưởng nhưng không công bố con số cụ thể, cũng không nói rõ cơ quan nào bị mạo danh. Công ty đã chặn địa chỉ email đó, báo cơ quan liên quan, cảnh sát và các cơ quan quản lý, đồng thời khẳng định hệ thống và tiền của khách không bị ảnh hưởng.
Nhà nghiên cứu bảo mật ZachXBT là người công khai vụ việc tối thứ Sáu, và nhận định vụ tấn công có vẻ nhắm vào nhóm khách hàng có tài sản lớn.
Revolut hiện có hơn 80 triệu khách hàng toàn cầu, hoạt động như ngân hàng ở hơn 30 quốc gia, và mới đây được Mỹ cấp phép có điều kiện để lập ngân hàng quốc gia. Hãng cũng đang cân nhắc IPO với định giá có thể tới 200 tỷ USD — nên một sự cố niềm tin lúc này không hề dễ chịu.
Điểm rút ra cho tất cả chúng ta: quy trình xác minh yêu cầu từ “cơ quan nhà nước” đang là mắt xích yếu ở rất nhiều nơi, không riêng gì Revolut.
Anh em có đang dùng ví/ngân hàng số nào lưu bản chụp giấy tờ không? Kiểm tra lại cảnh báo đăng nhập cho chắc, rồi kể Cenix nghe cách mấy fen bảo vệ dữ liệu cá nhân.
Nguồn: TechCrunch
Nguồn: TechCrunch
