Как инцидент с раскрытием данных клиентов Revolut могут оценить инвесторы?

Сможет ли инцидент с передачей данных клиентов Revolut злоумышленникам повлиять на его оценку и какие последствия он будет иметь для клиентов необанка?

Информация о том, что Revolut передал данные как минимум 680 своих клиентов мошенникам, появилась в СМИ 12 сентября — первым об этом сообщил портал TechCrunch. Сам необанк признал факт утечки. В руках у мошенников оказались даты рождения клиентов, их почтовые и электронные адреса, номера телефонов и копии документов, включая паспорта и водительские удостоверения. По данным Financial Times, злоумышленники выбирали клиентов Revolut с крупными криптовалютными активами с помощью анализа блокчейна.

Сам Revolut заявил, что обнаружил «сложную внешнюю мошенническую схему с выдачей себя за другое лицо/организацию». После этого банк заблокировал адрес, с которого хакеры прислали запрос, и уведомил об инциденте госучреждение, от имени которого обращались злоумышленники, правоохранительные органы, регулятор по защите данных и финансовые органы.

Revolut — частный финтех, который готовится к IPO (не ранее 2028 года) и рассматривает возможность двойного листинга в Нью-Йорке и Лондоне. Его цель — к этому моменту стать глобальным банком с оценкой $150-200 млрд. В июле этого года он провел вторичную продажу акций по цене $2017 и общей оценке в $115 млрд.

Поскольку компания частная, прямую оценку влияния инцидента на ее актуальную рыночную стоимость получить невозможно. Но есть косвенные признаки — по данным Forge, расчетная цена акции Revolut на pre-IPO c 11 сентября снизилась к текущему моменту примерно на 3,4% — до $2125.

На сервисе Polymarket спустя примерно неделю после того, как стало известно об инциденте, вероятность того, что Revolut получит оценку в $150 млрд до 1 января 2027 года, резко упала — с 53% на начало сентября до 8% (на 17 сентября). Сейчас она составляет 47%. В ту же неделю вероятности для оценки в $175 млрд и в $200 млрд существенно не изменились.

На биржах плохая новость может практически мгновенно отразиться в цене акции, но для частных компаний такой механизм отсутствует, говорит венчурный инвестор Павел Мясников. У частной компании одновременно может существовать несколько предложений на покупку ее акций по разным ценам.

Для нее важны прежде всего совокупность долгосрочных факторов, а не один конкретный: инвесторы могут оценивать рыночные настроения и результаты due diligence, а наряду с этим использовать и отзывы других инвесторов и информацию о репутации основателя команды, подчеркивает Мясников.

Для потенциально пострадавших клиентов необанка последствия могут быть серьезными, предупреждает специалист по предотвращению финансовых преступлений и основатель FinCrime Agent Марко Беранцони, работавший ранее в HSBC, Standard Chartered и Bank of America Merrill Lynch.

По его словам, наличие публичных данных блокчейна с утекшей информацией позволяет связать криптокошелек с конкретным человеком, его адресом и документами. Даже если деньги клиентов не были украдены, такой набор данных в будущем злоумышленники могут использовать для целевого фишинга, попыток захвата аккаунтов, вымогательства и, в случае с крупными владельцами криптоактивов, потенциально создавать риски для физической безопасности, говорит Беранцони.

В комментарии Revolut для Oninvest говорится, что мошеннические схемы с выдачей себя за другое лицо «становятся все более изощренными: злоумышленники сочетают детальное изучение цели, убедительные предлоги и тщательно подготовленные сообщения, создавая чрезвычайно правдоподобные кампании социальной инженерии».

«Вместо эксплуатации технических уязвимостей злоумышленники все чаще стремятся эксплуатировать доверие и уже существующие бизнес-процессы», — сказал представитель банка.

Прокуратура Реджо-ди-Калабрии уже начала расследование, а итальянский регулятор по защите персональных данных попросил банки проверить свои системы на наличие аномальных сообщений с того же адреса сертифицированной электронной почты, которым пользовались хакеры, и выяснить, не направляли ли они аналогичные запросы другим финансовым организациям.

Управляющий партнер ZenitLegal Рамис Абянов отмечает, что Revolut должен был проверить не только домен отправителя запросов, но и надлежащим ли образом оформлен сам запрос, были ли у подписавшего его полномочия для получения доступа к данным.

Госорганы могут потребовать доступ к информации клиентов не только для расследования уголовного дела, уточняет юрист: сведения могут понадобиться при изучения операций третьих лиц, при налоговом контроле, финансовом надзоре или AML-проверке. Но даже правильно оформленный запрос не открывает госоргану доступ ко всей клиентской информации. Банк вправе передать только тот объем сведений, который действительно необходим для проверки или расследования.

В случае запросов иностранных органов процедура может быть еще сложнее: необходимы, например, судебное поручение или запрос по линии финансовой разведки или налоговых органов.

«В Италии государственные органы имеют широкий доступ к информации у банков. Но в ряде случаев одного запроса недостаточно, необходимо получить решение суда», — соглашается адвокат бюро Москвы «Соколов, Трусов и Партнеры» Мария Суськая.

Она считает, что история Revolut может стать поводом для дальнейшего обсуждения правил доступа государственных органов к банковской информации в Италии.

Адвокат, старший юрист АБ Criminal Defense Екатерина Харченко отмечает, что утечки персональных данных злоумышленникам, которые используют запросы государственных и правоохранительных органов для прикрытия, — это прямой результат ситуации, в которой требования к госструктурам при передаче уязвимой информации в повседневной жизни понижены, по сравнению, например, с запросами контрагентов или потребителей.

В результате аналогичная ситуация потенциально может произойти с любой компанией, независимо от ее юрисдикции, убеждена Харченко.