Revolut Ungkap Kebocoran Data yang Mengekspos Informasi Keuangan dan Paspor

Perusahaan fintech Revolut mengungkap insiden kebocoran data yang menyebabkan informasi pribadi dan finansial sejumlah pelanggan dikirim kepada threat actor yang menyamar sebagai lembaga pemerintah.

Insiden tersebut terjadi setelah attacker mengajukan permintaan data melalui email menggunakan domain milik sebuah lembaga pemerintah. Karena email tersebut membawa kredensial autentikasi domain yang valid, permintaan dianggap sebagai permintaan resmi dan dipenuhi oleh Revolut.

Perusahaan mengatakan jumlah pelanggan yang terdampak terbatas, tetapi belum mengungkapkan angka pastinya.

Revolut saat ini beroperasi di lebih dari 160 negara dan wilayah serta menyediakan layanan perbankan, pengelolaan keuangan, dan investasi kepada lebih dari 80 juta pelanggan, termasuk sekitar 800.000 pelanggan bisnis.

Data Paspor dan Verifikasi Wajah Ikut Terungkap

Data yang diberikan kepada attacker mencakup informasi identitas pelanggan, antara lain:

• Nama lengkap
• Tanggal lahir
• Pekerjaan
• Alamat tempat tinggal
• Alamat email
• Nomor telepon

Yang lebih sensitif, data tersebut juga mencakup informasi yang digunakan dalam proses verifikasi identitas pelanggan.

Revolut mengatakan informasi yang terekspos mencakup salinan dokumen identitas, seperti paspor dan/atau SIM, serta gambar verifikasi wajah atau selfie yang diberikan pelanggan ketika menjalani proses Know Your Customer (KYC) saat membuka rekening.

Selain data identitas, attacker juga memperoleh sejumlah informasi finansial pelanggan, termasuk account statements yang dapat berisi nomor IBAN, catatan penarikan dana, serta riwayat transaksi secara lengkap.

Riwayat tersebut bahkan mencakup transaksi Bitcoin.

Kombinasi data identitas, dokumen resmi, verifikasi wajah, dan informasi finansial membuat insiden ini memiliki risiko yang cukup serius apabila data tersebut digunakan untuk penipuan identitas, phishing tertarget, maupun upaya mengambil alih akun atau layanan finansial lainnya.

Data Diberikan karena Email Terlihat Sah

Menurut Revolut, attacker berhasil meyakinkan perusahaan karena permintaan data dikirim menggunakan domain lembaga pemerintah dan komunikasi tersebut memiliki domain authentication credentials yang valid.

Dengan kondisi tersebut, permintaan dipenuhi berdasarkan keyakinan yang wajar bahwa permintaan tersebut benar-benar berasal dari lembaga pemerintah terkait.

Kasus ini menunjukkan bahwa validasi autentikasi domain saja tidak selalu cukup untuk memastikan identitas pihak yang meminta informasi sensitif. Jika akun atau mekanisme komunikasi lembaga yang sah disalahgunakan, email tersebut dapat terlihat legitimate meskipun permintaan sebenarnya dikendalikan oleh attacker.

Revolut Langsung Memblokir Alamat yang Digunakan

Revolut mengatakan insiden tersebut segera ditangani setelah terdeteksi.

Perusahaan langsung memblokir alamat yang digunakan attacker dan memberi tahu lembaga pemerintah terkait serta aparat penegak hukum, otoritas perlindungan data, dan regulator sektor finansial.

Revolut juga menegaskan bahwa sistem perusahaan dan dana pelanggan tidak terdampak oleh insiden tersebut.

Dengan kata lain, berdasarkan informasi yang disampaikan perusahaan, kebocoran ini berkaitan dengan pengungkapan data pelanggan kepada pihak yang tidak berwenang, bukan kompromi langsung terhadap sistem transaksi atau saldo dana pelanggan.

Namun, Revolut tidak mengungkapkan berapa tepatnya jumlah pelanggan yang terdampak.

Diduga Menargetkan Pelanggan dengan Kekayaan Tinggi

Investigasi insiden tersebut juga mendapat perhatian dari peneliti fraud dan crypto ZachXBT.

Menurutnya, meskipun jumlah korban kemungkinan terbatas, pola kebocoran menunjukkan bahwa serangan tersebut tampaknya menargetkan pelanggan dengan kekayaan tinggi.

Jika benar, pendekatan tersebut dapat membuat data yang dicuri menjadi jauh lebih bernilai bagi attacker. Informasi mengenai identitas, kepemilikan akun, transaksi, serta aktivitas cryptocurrency dapat digunakan untuk melakukan social engineering dan penipuan yang sangat tertarget.

Namun, dugaan mengenai target pelanggan dengan kekayaan tinggi tersebut belum dikonfirmasi secara resmi oleh Revolut.

Revolut Pernah Mengalami Kebocoran Data Sebelumnya

Ini bukan pertama kalinya Revolut menghadapi insiden kebocoran data.

Pada September 2022, perusahaan mengungkap serangan lain yang menyebabkan informasi pribadi, kontak, dan finansial milik sekitar 50.150 pelanggan dicuri.

Insiden terbaru memiliki karakter yang berbeda karena data diberikan setelah attacker berhasil menyamar sebagai lembaga pemerintah melalui komunikasi email yang dianggap legitimate.

Kasus tersebut kembali menunjukkan pentingnya proses verifikasi berlapis ketika organisasi menerima permintaan untuk memberikan data pelanggan yang sangat sensitif. Bahkan ketika komunikasi berasal dari domain yang valid dan memiliki autentikasi teknis yang benar, identitas serta legitimasi permintaan tetap perlu diverifikasi melalui jalur independen.

Sumber: Revolut