Revolut, fintech obsługujący ponad 80 milionów klientów w przeszło 160 krajach, sam przekazał dane części użytkowników cyberprzestępcom. Nie doszło do włamania w tradycyjnym rozumieniu — nikt nie złamał zabezpieczeń infrastruktury IT. Przestępcy po prostu wysłali odpowiednio wyglądające e-maile z przejętej urzędowej skrzynki pocztowej i grzecznie poprosili o dane. A Revolut je wydawał. Przez pięć miesięcy.
Co dokładnie wyciekło
Revolut po wykryciu incydentu wysłał poszkodowanym powiadomienie, z którego wynika zakres wycieku. Przestępcy uzyskali:
- imiona i nazwiska, daty urodzenia, zawody,
- adresy zamieszkania, adresy e-mail, numery telefonów,
- skany dokumentów tożsamości — paszportów i praw jazdy,
- selfie z procesu KYC (weryfikacji tożsamości przy zakładaniu konta),
- wyciągi bankowe z numerami IBAN, historię wypłat oraz pełną historię transakcji, w tym transakcji kryptowalutowych.
To praktycznie kompletna teczka na każdego poszkodowanego klienta. Z takim zestawem danych przestępcy mogą przeprowadzać precyzyjne ataki phishingowe, zaciągać kredyty na skradzione tożsamości czy szantażować ofiary szczegółami ich transakcji finansowych.
Kto ucierpiał
Revolut mówi o „bardzo ograniczonej” grupie klientów, nie podając konkretnych liczb. Media szacują jednak, że poszkodowanych jest około 680 osób. Badacz kryptowalut ZachXBT wskazuje, że celem byli przede wszystkim zamożni klienci oraz osoby aktywnie handlujące kryptowalutami.
Jedna z osób podających się za atakującego opublikowała listę krajów, z których pochodzą ofiary. Polska jest na niej wymieniona, obok m.in. Czech, Niemiec, Hiszpanii, Włoch, Norwegii, Szwecji i Wielkiej Brytanii — łącznie ponad 30 państw.
Jak do tego doszło — atak „na funkcjonariusza”
Mechanizm ataku opierał się na social engineeringu, czyli manipulacji psychologicznej — w tym przypadku wykorzystaniu autorytetu organów ścigania. Przestępcy przejęli skrzynkę e-mail należącą do włoskiego systemu PEC (Posta Elettronica Certificata). PEC to certyfikowana poczta elektroniczna, której wiadomości mają we Włoszech moc prawną porównywalną z listem poleconym.
Przejęta skrzynka należała do prefektury Reggio Calabria. Za jej pomocą przestępcy kierowali do litewskiej spółki Revolut Bank UAB żądania udostępnienia danych, powołując się na Europejski Nakaz Dochodzeniowy. Metoda polegała na masowym wysyłaniu setek identyfikatorów transakcji kryptowalutowych z pytaniem, do kogo przypisane są powiązane konta.
Revolut realizował te fałszywe żądania przez pięć miesięcy, zanim ktokolwiek w firmie zorientował się, że coś jest nie tak.
Jak przejęto urzędową skrzynkę
Sami atakujący twierdzą (choć Revolut nie potwierdził tych szczegółów), że dostęp do skrzynki PEC uzyskali za pomocą infostealera — złośliwego oprogramowania, które wykrada hasła zapisane na zainfekowanym komputerze. Po przejęciu kontroli nad kontem przestępcy mieli:
- monitorować skrzynkę całą dobę,
- dodać własny adres e-mail do opcji odzyskiwania hasła,
- natychmiast kasować wiadomości powiązane z ich fałszywymi żądaniami, żeby prawdziwy właściciel skrzynki niczego nie zauważył.
To nie odosobniony przypadek — od początku 2026 roku odnotowano ponad 650 incydentów nielegalnego wykorzystania kont PEC we Włoszech.
Czerwone flagi, które Revolut przeoczył
Można argumentować, że skoro e-maile przychodziły z prawdziwej domeny rządowej, technicznie wszystko się zgadzało — SPF, DKIM i DMARC (mechanizmy weryfikujące autentyczność nadawcy) nie wykazywały nieprawidłowości. Ale włoskie media zwracają uwagę na szereg sygnałów ostrzegawczych, które Revolut zignorował:
- Żądania podpisywane były jako „Policja Pocztowa”, choć wysyłano je ze skrzynki prefektury — a to zupełnie inna instytucja.
- Do żądań powinien być dołączony nakaz sądowy (to on nadaje im moc prawną), ale go brakowało — a Revolut się o niego nie upominał.
Innymi słowy: firma po prostu realizowała żądanie za żądaniem, bez elementarnej weryfikacji ich zasadności.
Szantaż i publikacja danych
Przestępcy przeszli do szantażu. Zaczęli publikować fragmenty skradzionych danych i grożą udostępnieniem kolejnych rekordów, dopóki Revolut nie zapłaci okupu w wysokości 10 000 BTC (w przeliczeniu ponad 780 milionów dolarów). W sieci pojawiły się już dane znanych osób, m.in. tenisisty Sewczenko i Felixa Romera, prezesa internetowego kasyna.
Atakujący twierdzą również, że przejęli 147 GB danych — choć ta informacja nie została niezależnie potwierdzona i według niektórych źródeł może dotyczyć danych z samej włoskiej prefektury, nie Revoluta.
Revolut zapewnia, że systemy transakcyjne i środki klientów nie ucierpiały, a po wykryciu incydentu natychmiast zablokowano podejrzany adres i powiadomiono organy ścigania oraz regulatorów.
Nie pierwszy raz
To nie pierwsza poważna wpadka Revoluta związana z bezpieczeństwem danych. W 2022 roku phishing (atak polegający na podszywaniu się pod zaufane źródło) wymierzony w pracownika firmy doprowadził do kradzieży danych ponad 50 000 użytkowników. Tym razem skala jest mniejsza pod względem liczby poszkodowanych, ale zakres wykradzionych informacji — znacznie szerszy.
Schemat ataku przypomina kampanię grupy Lapsus$ z lat 2021–2022, która przejmowała konta organów ścigania i za ich pomocą wyłudzała dane użytkowników od Apple, Mety czy Discorda. Metoda „na funkcjonariusza” jest od lat znana FBI i ekspertom ds. cyberbezpieczeństwa — dostępy do urzędowych skrzynek e-mail krążą na forach w darknecie za równowartość kilkuset złotych.
Co robić, jeśli jesteś klientem Revoluta
Nawet jeśli nie otrzymałeś powiadomienia od Revoluta, warto podjąć kilka kroków zapobiegawczych — szczególnie jeśli korzystasz z konta od dłuższego czasu i przechodziłeś pełną weryfikację KYC:
- Zmień hasło do Revoluta i włącz uwierzytelnianie dwuskładnikowe (2FA), najlepiej przez aplikację (nie SMS).
- Uważaj na spersonalizowane wiadomości — przestępcy mogą teraz wysyłać ci e-maile lub SMS-y, które powołują się na Twoje prawdziwe dane (imię, adres, numer konta). Sam fakt, że ktoś zna Twoje dane, nie oznacza, że jest zaufaną instytucją.
- Monitoruj swoje konta bankowe i raport BIK — wyciek skanów dokumentów tożsamości otwiera drogę do prób wyłudzenia kredytów na Twoje dane. Rozważ założenie alertów w BIK.
- Zastrzeż dokument tożsamości — jeśli obawiasz się, że Twój paszport lub prawo jazdy mogły trafić w niepowołane ręce, zgłoś to do odpowiedniego urzędu i rozważ wymianę dokumentu.
- Nie klikaj w linki z e-maili czy SMS-ów rzekomo od Revoluta — zawsze loguj się bezpośrednio przez oficjalną aplikację.
Cała sytuacja jest bolesnym przypomnieniem, że aby wykraść dane, nie zawsze trzeba łamać zabezpieczenia techniczne. Czasem wystarczy poprosić — z odpowiednio wyglądającego adresu e-mail — i liczyć na to, że po drugiej stronie nikt nie zweryfikuje zasadności żądania.