Revolut, sahte devlet talepleriyle veri sızıntısını doğruladı

İngiltere merkezli finans teknolojisi şirketi Revolut, sahte devlet talepleri üzerinden gerçekleşen bir veri sızıntısını doğruladı. Şirketin müşterilere gönderdiği bildirime göre yetkisiz bir kişi, gerçek bir devlet kurumuna ait e-posta alan adını kullanarak Revolut’tan müşteri bilgileri talep etti. Şirket, bu taleplerin sahte olduğunu fark edene kadar bazı hassas verileri üçüncü tarafla paylaştı.

Revolut, olaydan etkilenen müşteri sayısını açıklamadı. Bununla birlikte bir şirket sözcüsü, sızıntının “sınırlı” sayıda müşteriyi etkilediğini ve bu kişilere doğrudan ulaşıldığını belirtti. Şirket ayrıca olayın belirli bir ülke veya pazarla sınırlı olup olmadığı konusunda bilgi vermedi. Kullanılan devlet kurumunun adı da paylaşılmadı.

Hangi müşteri bilgileri açığa çıkmış olabilir?

Revolut’un bildiriminde, etkilenen veriler arasında müşterilerin kimlik ve iletişim bilgilerinin bulunabileceği belirtildi. Bu kapsamda doğum tarihi, posta adresi, e-posta adresi ve telefon numarası gibi bilgiler yer alıyor. Bazı müşterilerin pasaport ve ehliyet kopyaları da yetkisiz tarafın erişimine açılmış olabilir.

Bildirimde, doğrulama amacıyla alınan selfie’lerin yanı sıra hesap ekstreleri ve işlem geçmişlerinin de olaydan etkilenmiş olabileceği ifade edildi. Şirket, hangi müşteriye ait hangi veri türlerinin paylaşıldığını ayrıntılı biçimde açıklamadı. Bu nedenle sızıntının tüm etkilenen kişiler için aynı kapsamda gerçekleşip gerçekleşmediği bilinmiyor.

Olayın, Revolut’un sistemlerine doğrudan bir sızma sonucunda gerçekleşmediği anlaşılıyor. Şirketin açıklamasına göre saldırgan, resmi bir kurumdan geliyormuş izlenimi oluşturan sahte talepler hazırladı. Meşru bir devlet kurumu alan adının kullanılması, talebin gerçek olduğuna dair ek bir güven oluşturmuş olabilir.

Revolut hangi önlemleri aldı?

Revolut, dolandırıcılık fark edildikten sonra kullanılan e-posta adresini engellediğini açıkladı. Şirket ayrıca ilgili devlet kurumunu, kolluk kuvvetlerini ve düzenleyici kuruluşları bilgilendirdi. Açıklamada Revolut’un iç sistemleriyle müşteri fonlarının olaydan etkilenmediği vurgulandı.

Kripto para güvenliği araştırmacısı ZachXBT, cuma gecesi etkilenen müşterilere gönderilen bildirimi kamuoyuyla paylaştı. Araştırmacı, olayın yüksek varlığa sahip kullanıcıları hedef almış olabileceğini değerlendirdi. Bu iddia şirket tarafından doğrulanmış değil; Revolut da etkilenen müşterilerin profiline veya olayın hedef seçme yöntemine ilişkin ayrıntı sunmadı.

Veri sızıntılarında yalnızca parolaların veya hesap bakiyelerinin ele geçirilmesi risk oluşturmaz. Kimlik belgeleri, işlem geçmişleri ve iletişim bilgileri; kimlik hırsızlığı, hedefli dolandırıcılık ve ikna edici sahte iletişimler için kullanılabilir. Revolut’un doğrudan bilgilendirme yapması, etkilenen müşterilerin kendilerine ulaşan yeni taleplere karşı daha temkinli olması açısından önem taşıyor.

Olay Revolut için neden kritik?

Revolut’un internet sitesindeki bilgilere göre şirketin dünya genelinde 80 milyondan fazla müşterisi bulunuyor ve 30’dan fazla ülkede banka olarak faaliyet gösteriyor. Şirket son dönemde Hindistan, Meksika, Fransa ve Birleşik Arap Emirlikleri gibi pazarlardaki varlığını da genişletti.

Revolut’un büyüme planları, sızıntının ortaya çıktığı dönemi daha hassas hâle getiriyor. ABD Para Birimi Denetleme Ofisi, eylül ayının başında şirkete ABD’de ulusal banka kurması için şartlı onay verdi. Revolut, ABD bankacılık faaliyetlerini 2027’nin ilk yarısında başlatmayı bekliyor.

Şirket aynı zamanda Avrupa ve diğer bölgelerde bankacılık faaliyetlerini artırıyor; son aylarda Fransa ve Birleşik Krallık’ta bankacılık lisansları aldı. Revolut’un olası halka arzını değerlendirdiği ve bu işlemin şirket değerlemesini 200 milyar dolara kadar taşıyabileceği de bildiriliyor. Şirketin kasım ayındaki özel piyasa değerlemesi 75 milyar dolar seviyesindeydi.

Bu tablo, müşteri verilerinin korunmasını yalnızca teknik bir güvenlik konusu olmaktan çıkarıyor. Büyük ölçekli finans platformlarında çalışanların gelen talepleri doğrulaması, resmi görünen e-posta adreslerine tek başına güvenilmemesi ve hassas verilerin paylaşılmasından önce bağımsız kontroller yapılması gerekiyor. Revolut’un olayla ilgili daha fazla ayrıntı paylaşıp paylaşmayacağı ve kaç müşterinin kesin olarak etkilendiği ise henüz netleşmedi.