İngiliz fintech şirketi Revolut, yetkili bir devlet kurumu e-posta alanından gönderilen sahte talepler üzerine hassas müşteri bilgilerini yetkisiz üçüncü bir tarafa ifşa ettiğini doğruladı. Müşteri bildirimine göre talep, kurumun resmi alan adını kullanan ancak yetkisiz bir e-posta hesabından gönderilmişti ve mesaj geçerli alan doğrulama kimlik bilgileri taşıdığı için gerçek sanılarak karşılanmıştı.
Açığa çıkan veriler arasında müşterilerin kimlik ve iletişim bilgileri yer aldı. TechCrunch’ın incelediği ve etkilenen müşterilere gönderilen bildirimde doğum tarihi, posta ve e-posta adresleri ile telefon numaralarının bulunduğu belirtildi. Bildirime göre veriler arasında pasaport ve ehliyet gibi kimlik belgelerinin kopyaları da vardı. Şirket, veri setinin doğrulama selfie’leri, hesap ekstreleri ve işlem geçmişlerini de içermiş olabileceğini kaydetti. Bildirime göre ifşa edilen bilgiler arasında ad-soyad, meslek gibi kimlik detayları; IBAN ve cüzdan referans numaralarının yer aldığı hesap ekstreleri, para çekme kayıtları ve Bitcoin dahil tam işlem geçmişi de bulunuyordu. Revolut, biyometrik yüz telemetri verisinin yer almadığını bildirdi.
Bir Revolut sözcüsü TechCrunch’a “sınırlı” sayıda müşterinin etkilendiğini doğruladı ve şirketin bu kişilere doğrudan ulaştığını söyledi. Revolut, etkilenen kişi sayısını açıklamadı. Olayın belirli bir pazara mı özgü olduğu sorusuna yanıt vermedi ve söz konusu devlet kurumunun adını paylaşmadı.
Sözcü, “Revolut yakın zamanda, yetkisiz bir üçüncü tarafın meşru bir devlet kurumu alan adını kullanan e-posta ile bilgi talebinde bulunan sofistike bir dış kimlik avı dolandırıcılığını tespit etti” dedi.
Revolut, TechCrunch’a yetkisiz üçüncü taraftan gelen dolandırıcılığı fark ettikten sonra e-posta adresini engellediğini ve ilgili devlet kurumu, kolluk kuvvetleri ile ilgili düzenleyicileri bilgilendirdiğini söyledi. Şirket ayrıca “Revolut sistemleri ve müşteri fonları etkilenmedi” ifadesini kullandı.
Londra merkezli Revolut’un web sitesine göre dünya genelinde 80 milyondan fazla müşterisi bulunuyor ve 30’dan fazla ülkede banka olarak faaliyet gösteriyor. Fintech şirketi son dönemde Hindistan, Meksika, Fransa ve BAE gibi pazarlardaki varlığını genişletti. Ayrıca bu ayın başlarında ABD Para Birimi Denetçisi Ofisi, Revolut’a ülkede ulusal bir banka kurmak için koşullu onay verdi. Şirketin bu bankayı 2027’nin ilk yarısında faaliyete geçirmesi bekleniyor.
Tanınmış kripto güvenlik araştırmacısı ZachXBT, Cuma gecesi Revolut’un etkilenen müşterilerine gönderdiği e-postayı paylaştı. Araştırmacı, olayın yüksek net değere sahip kullanıcıları hedeflemiş gibi göründüğünü belirtti ve benzer sızıntılar dalgası arasında “wrench attack” endişesi uyandırdığını ifade etti.
Olay, Revolut’un Kasım ayındaki 75 milyar dolarlık özel değerlemesine kıyasla şirketi 200 milyar dolara kadar değerleyebilecek potansiyel bir halka arzı değerlendirdiği bir dönemde yaşandı. Fintech şirketi son aylarda Fransa ve İngiltere’de banka lisansları alarak Avrupa’da ve küresel ölçekte bankacılık ağını genişletmeye devam ediyor.
