Revolut מסרה דרכונים וסלפי של לקוחות למתחזה שפנה מכתובת מייל ממשלתית אמיתית
אפליקציית הבנקאות אישרה שנענתה לבקשות מידע מזויפות שנשלחו מדומיין לגיטימי של רשות ממשלתית. נמסרו מסמכי זהות, תמונות אימות והיסטוריית עסקאות. הכסף לא נפגע, אבל הסכנה עוברת להונאות ההמשך.
TL;DR בקצרה
- ב-12 בספטמבר 2026 אישרה Revolut שמסרה מידע רגיש על לקוחות בעקבות בקשות מזויפות מכתובת בדומיין ממשלתי אמיתי.
- המידע כולל פרטים אישיים, צילומי דרכון ורישיון נהיגה, סלפי לאימות, דפי חשבון והיסטוריית עסקאות.
- Revolut לא חשפה כמה לקוחות נפגעו ואיזו רשות הייתה מעורבת, ולדבריה כספי הלקוחות לא נפגעו.
- הסיכון המרכזי הוא הונאות המשך: שיחות והודעות מנוכלים שמחזיקים במידע אמין על הקורבן.
Revolut אישרה ב-12 בספטמבר 2026 שמסרה מידע רגיש על לקוחות למתחזה. זו אחת מאפליקציות הבנקאות הגדולות בעולם. המידע כולל צילומי דרכונים, תמונות סלפי לאימות ופירוט עסקאות. המתחזה פנה אליה מכתובת מייל אמיתית של רשות ממשלתית. החברה מתארת את האירוע כהונאת התחזות חיצונית מתוחכמת, ולא כפריצה למערכות שלה. לדבריה, הלקוחות לא איבדו כסף.
בקשה ״רשמית״ ל-Revolut מדומיין ממשלתי אמיתי
לפי TechCrunch, התוקף שלח את הבקשות המזויפות מכתובת בדומיין לגיטימי של רשות ממשלתית. Revolut לא חשפה איזו רשות, מאיזו מדינה, ואיך התוקף השיג גישה לכתובת. היא גם לא מסרה את מספר הנפגעים, ותיארה אותו רק כ״מוגבל״. האירוע התפרסם אחרי שחוקר הקריפטו ZachXBT העלה ב-11 בספטמבר את ההודעה שהחברה שלחה ללקוחות. הוא טען שהמתקפה כוונה ללקוחות אמידים.
לפי ההודעה ללקוחות, המידע שנמסר עשוי לכלול תאריך לידה, כתובת דואר ומייל ומספר טלפון. המידע עשוי לכלול גם צילומי מסמכי זהות כמו דרכון ורישיון נהיגה. הוא עשוי לכלול גם תמונות סלפי ששימשו לאימות זהות, דפי חשבון והיסטוריית עסקאות. Revolut חסמה את הכתובת שממנה התוקף שלח את הבקשות. היא דיווחה לרשות הממשלתית, לרשויות האכיפה, לרשויות הגנת המידע ולרגולטורים הפיננסיים. בנוסף, היא פנתה ישירות ללקוחות שנפגעו.
לא צריך לפרוץ ל-Revolut אם אפשר פשוט לבקש
בנקים וחברות פינטק מקבלים כל הזמן בקשות למידע מרשויות חקירה ואכיפה, חלקן דחופות. המקרה של Revolut מראה איך תוקפים מנצלים בדיוק את התהליך הזה. במקום לפרוץ למערכות מוגנות, הם מגישים בקשה שנראית רשמית. אחר כך הם מקבלים את המידע מידי העובדים. כתובת מייל מדומיין ממשלתי, שנפרצה או שניצלו אותה לרעה, משמשת כאן כמו מפתח. היא עובדת כי רוב תהליכי הבדיקה סומכים על השולח.
הסכנה בשילוב של מה שנמסר גדולה במיוחד. דרכון, סלפי ופרטים אישיים הם בדיוק מה שנדרש. עם אלה אפשר לעבור תהליכי ״הכר את הלקוח״ (KYC) בשירותים פיננסיים אחרים. אפשר גם לפתוח חשבונות בשם הקורבן או לנסות להשתלט על חשבונות קיימים. היסטוריית העסקאות נותנת לנוכלים חומר אמין לשיחות. הם יכולים לצטט עסקה אמיתית ולשכנע שהם מצוות האבטחה של הבנק. Malwarebytes מעריכה שהשלב הבא הסביר הוא הונאות המשך, ולא העברות כספים מיידיות.
ל-Revolut מעל 80 מיליון לקוחות, והיא פועלת כבנק ביותר מ-30 מדינות. בתחילת ספטמבר היא קיבלה אישור מותנה מהרגולטור האמריקאי OCC להקמת בנק לאומי בארצות הברית. לכן האירוע מגיע ברגע רגיש מבחינתה.
מה זה אומר עבורכם
- אם קיבלתם הודעה מ-Revolut על האירוע: הניחו שתקבלו פניות מנוכלים. כל שיחה, הודעת WhatsApp, SMS או מייל ״מ-Revolut״ שמבקשים לאבטח את החשבון, להעביר כסף או לשלוח מסמכים, הם חשודים. נתקו ופנו רק דרך הצ׳אט בתוך האפליקציה.
- בדקו את החשבון: עברו על הכרטיסים, המוטבים, ההעברות האחרונות והמכשירים המחוברים. דווחו מיד על כל דבר לא מוכר.
- מסמכי הזהות שלכם בחוץ: עקבו אחרי חשבונות או בקשות אשראי שנפתחים על שמכם. היו חשדנים במיוחד כלפי שירותים שמבקשים מכם ״לאמת מחדש״ זהות.
- לעסקים שמקבלים בקשות מידע מרשויות: אל תסתמכו על כתובת השולח בלבד. אמתו כל בקשה בערוץ עצמאי, למשל טלפון למספר רשמי שאתם מוצאים בעצמכם. עשו זאת גם כשהבקשה מסומנת כדחופה.
- כלל אצבע לכולם: שום גוף לגיטימי לא יבקש מכם לשלוח סלפי או צילום דרכון בתגובה להודעה שלא יזמתם.
מה הלאה
נכון למועד הדיווחים, Revolut לא פרסמה את היקף האירוע ואת זהות הרשות. הכתובת של הרשות שימשה את המתחזה. אלה שני הפרטים שכדאי לעקוב אחריהם. הראשון יגלה כמה אנשים חשופים להונאות המשך. השני יבהיר אם תוקפים פרצו לחשבון מייל ממשלתי. במקרה כזה, אולי גם גופים אחרים קיבלו ממנו בקשות דומות. בינתיים המקרה מזכיר שמייל מדומיין ממשלתי אינו הוכחה מספקת לזהות השולח. זה נכון לבנקים ולכל עסק אחר שמחזיק מידע על לקוחות.
מקורות והרחבה
- Revolut confirms customer data breach through fake government requestsTechCrunch
- Revolut gave customer IDs and financial data to a government impostorMalwarebytes
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
