Как можно было бы избежать утечки из Revolut? Отвечает эксперт по финпреступлениям

Инцидент с утечкой данных сотен клиентов необанка Revolut следует рассматривать как сочетание кибератаки и сбоя внутренних процедур банка, считает специалист по предотвращению финансовых преступлений, основатель платформы FinCrime Agent Марко Беранцони. У него за плечами почти 20 лет опыта работы в сфере кибербезопасности — на позициях в крупнейших финансовых организациях мира, включая HSBC, Standard Chartered и Bank of America Merrill Lynch. 

Злоумышленники могли скомпрометировать или использовать государственную коммуникационную инфраструктуру Италии, однако сам факт передачи мошенникам данных клиентов указывает на слабые места в процедурах проверки и утверждения высокорисковых запросов, пояснил Беранцони в комментарии для Oninvest.

«Это сложная атака с выдачей себя за другое лицо, но не обязательно технически сложное проникновение в системы Revolut», — говорит он. Даже если запрос поступает со взломанного, но выглядящего легитимным государственного адреса, он может пройти стандартную техническую аутентификацию электронной почты и выглядеть убедительно для сотрудника банка, указывает эксперт.

По его мнению, главный вопрос сейчас в том, проводил ли Revolut — и как — независимую проверку запроса от якобы госорганов до того, как передать данные некоторых клиентов.

Беранцони добавляет, что если запрос экстренный, то он может создать особую уязвимость, поскольку срочность используется как обоснование для обхода обычной юридической процедуры. «Банки и финтех-компании должны независимо подтверждать организацию, сотрудника и сам запрос через доверенный канал, который не указан в самом запросе. Позвонить по номеру телефона, указанному в том же электронном письме или документе, недостаточно», — подчеркивает эксперт.

Раскрытие конфиденциальных данных также должно требовать проверки со стороны второго сотрудника, даже если запрос выглядит срочным, добавляет финансист.

Он также выражает обеспокоенность по поводу того, что злоумышленники получили данные клиентов с крупными криптовалютными активами, а самих клиентов выявляли с помощью анализа блокчейна.

«Публичные данные блокчейна могут помогать преступникам находить ценные криптокошельки, тогда как утекшая информация может связать эти кошельки с реальными людьми, их адресами и удостоверяющими личность документами. Даже если в результате этого инцидента непосредственно средства украдены не были, пострадавшие клиенты могут столкнуться с целевым фишингом, попытками захвата аккаунтов, вымогательством или потенциальными рисками для физической безопасности», — предупреждает Беранцони.

Revolut впервые сам сообщил об инциденте 11 сентября. О своей причастности к утечке данных клиентов Revolut заявили хакеры, которые называют свою группу ImNotAVillain. По данным Financial Times, они взломали итальянскую государственную систему электронной почты и несколько месяцев выдавали себя за правоохранителей. Так они получали от необанка конфиденциальные сведения о его клиентах. К злоумышленникам попала информация примерно о 680 клиентах.

Группа IAmNotAVillain позднее потребовала от Revolut $3 млн выкупа за клиентские данные, пригрозив продать эти сведения. 

«Revolut не получал никаких прямых контактов или требований от лиц или группы, заявляющих об этой атаке», — заявил представитель Revolut в комментарии для Oninvest. 

Инцидент с передачей необанком данных клиентов происходит на фоне масштабной международной экспансии Revolut. Только в 2026 году финтех-компания получила полноценную банковскую лицензию в Великобритании, затем в августе — во Франции, а в начале сентября получил условное одобрение лицензии в США и продолжает расширять присутствие в других юрисдикциях. 

Одновременно необанк готовится к потенциальному выходу на публичный рынок. По словам основателя компании Ника Сторонского, IPO может состояться не ранее 2028 года. По данным Financial Times, цель банка — стать к этому времени глобальным игроком с оценкой до $200 млрд. Как писал Oninvest со ссылкой на оценки экспертов, стремление Revolut не выглядит недостижимой с учетом текущей динамики выручки, прибыли и клиентской базы.