Revolut выдал досье клиентов мошенникам, представившимся госорганом

Revolut подтвердил, что отправил документы и выписки клиентов людям, которые лишь выдавали себя за государственный орган. Банк никто не взламывал. Запросы пришли с настоящего государственного почтового домена, и Revolut ответил на них так же, как отвечает на настоящие.

Что сказал Revolut

В заявлении компании, о котором впервые сообщили 12 сентября 2026 года, описана «изощрённая схема с выдачей себя за другое лицо: неуполномоченная третья сторона использовала почту на легитимном домене государственного органа, чтобы направить мошеннические запросы информации». Компания говорит, что заблокировала адрес и уведомила сам орган, правоохранителей и регуляторов — финансовых и по защите данных.

Орган Revolut не назвал. Число пострадавших он описывает словом «ограниченное» и цифры не даёт.

Что ушло

По данным TechCrunch и The Register: даты рождения, домашние и почтовые адреса, телефоны, копии паспортов и водительских удостоверений, селфи для верификации, IBAN, выписки по счетам и полные истории операций, включая операции с биткоином.

Что говорят нападавшие

Остальное известно со слов тех, кто это сделал, — так к этому и стоит относиться. Группа, называющая себя iamnotavillain, сообщила Financial Times, как пересказывают другие издания, что получила досье примерно на 680 человек из 31 страны и хочет 6000 XMR, около трёх миллионов долларов. Revolut говорит, что требования выкупа не получал.

По тем же сообщениям, цели группа выбирала по открытым данным блокчейна: искала клиентов Revolut с крупной криптоактивностью, а затем запрашивала их досье поимённо. Исследователь ZachXBT, предавший историю огласке, сказал, что атака, судя по всему, была нацелена на состоятельных клиентов. Итальянские СМИ связывают почтовый канал с итальянской системой заверенной электронной почты; сам Revolut говорит лишь, что сообщил о случившемся властям Италии.

Чем этот случай отличается

Большинство утечек документов начинается со взлома. Эта прошла через парадную дверь. У каждой компании, которая хранит досье KYC, есть и процедура выдачи их властям по запросу, а процедура эта держится на человеке, который решает, настоящий ли запрос.

Чтобы её навести, хватило двух открытых вещей: блокчейна, по которому видно, кто двигает крупные суммы, и регулируемой компании, которая знает имена и адреса этих людей.

Что можно сделать

Отозвать уже выданное досье нельзя. Если вы клиент Revolut в ЕС или Великобритании, вы вправе письменно спросить компанию, были ли ваши данные раскрыты в этом инциденте: такое право даёт закон о защите данных. В остальном полезна старая привычка. Чем меньше компаний держат ваш паспорт рядом с адресами ваших кошельков, тем меньше окошек, в которые можно постучаться с подделкой.

О более привычном пути, которым такие досье уходят наружу, — прошлая заметка про августовские утечки KYC. Как каталог оценивает сервисы по тому, что они собирают, описано в методике.

Источники: TechCrunch, 12 Sept 2026, The Register, 14 Sept 2026, Malwarebytes, 14 Sept 2026, Bitcoin.com News, 16 Sept 2026 — the attackers' claims