Revolut wydał komplet danych swoich klientów obcej osobie. Bez włamania, bez exploita, bez jednej linijki złośliwego kodu. Wystarczył e-mail z domeny agencji rządowej i uprzejma prośba.
Fintech potwierdził incydent 12 września 2026. Wniosek o informacje o klientach przyszedł z nieautoryzowanego konta, ale wysłany bezpośrednio przez oficjalną domenę pocztową agencji. Wiadomość miała poprawne uwierzytelnienie domeny — przeszła kontrole, które mają potwierdzać, że nadawca jest tym, za kogo się podaje. Revolut zrealizował żądanie, jak sam pisze w powiadomieniu do klientów, „w uzasadnionym przekonaniu, że jest to autentyczne żądanie agencji rządowej”.
Wydano: imię i nazwisko, datę urodzenia, zawód, adres, e-mail, telefon, skan paszportu lub prawa jazdy, selfie weryfikacyjne, wyciągi z IBAN-em i numerem portfela oraz pełną historię transakcji, łącznie z Bitcoinem.
Wszystkie zabezpieczenia zadziałały poprawnie
To najważniejsze zdanie tej historii. SPF, DKIM i DMARC nie zawiodły — one odpowiadają na pytanie „czy ta wiadomość wyszła z tej domeny”, i odpowiedziały zgodnie z prawdą. Tak, wyszła.
Tyle że pytanie, które trzeba było zadać, brzmiało inaczej: czy ten konkretny człowiek ma uprawnienie, by żądać tych danych. Na to żaden mechanizm techniczny nie odpowie. Uwierzytelnienie domeny potwierdza kanał, nie kompetencję nadawcy. Między jednym a drugim leży cała ta sprawa.
Czego zabrakło: nie technologii, tylko procedury
Żądanie danych klienta od instytucji finansowej to czynność o wysokiej wadze prawnej. W dojrzałym procesie wygląda ona tak:
- Weryfikacja zwrotna kanałem niezależnym — telefon na numer z oficjalnej strony agencji, nigdy na numer z podpisu w mailu.
- Podstawa prawna w treści wniosku — przepis, sygnatura sprawy, nazwisko funkcjonariusza możliwe do potwierdzenia.
- Zasada dwóch par oczu — decyzja o wydaniu paszportu i historii transakcji nie należy do jednej osoby z działu obsługi.
- Minimalizacja zakresu — wniosek o dane identyfikacyjne nie uzasadnia wydania pełnej historii finansowej.
- Kanał wyłączny — poczta elektroniczna nie jest drogą przyjmowania żądań organów. Od tego są dedykowane portale prawne.
Każdy z tych punktów zatrzymałby atak. Żaden nie wymaga budżetu na nowe narzędzie. Wymagają natomiast czegoś, co w wielu organizacjach jest traktowane jak formalność do odhaczenia: spisanego regulaminu, który mówi pracownikowi, co wolno zrobić na podstawie samego maila, a czego nie wolno nigdy.
Autorytet jest luką w zabezpieczeniach
Socjotechnika działa nie dlatego, że ludzie są naiwni. Działa dlatego, że pracownik, który dostaje pismo od organu państwa, ma silny bodziec, by nie utrudniać. Odmowa wobec urzędu wydaje się ryzykowna. Spełnienie prośby wydaje się bezpieczne. Atakujący nie łamie systemu — on wykorzystuje to, jak ludzie reagują na autorytet i presję.
Pracownik bez procedury musi podjąć decyzję prawną w kilka minut, na własną odpowiedzialność. Pracownik z procedurą po prostu wykonuje krok trzeci: dzwoni pod numer ze strony agencji. Regulamin nie jest tu biurokracją — jest jedynym mechanizmem, który zdejmuje z człowieka ciężar oceniania autorytetu nadawcy.
Co z tego wynika
Revolut zapewnia, że jego systemy nie zostały naruszone i że z kont nie zniknęły pieniądze. To prawda i jednocześnie najbardziej niepokojąca część komunikatu. Systemy wytrzymały. Wyciekły paszporty, selfie i pełne historie transakcji — komplet materiału do kradzieży tożsamości i do phishingu tak precyzyjnego, że ofiara nie ma szans go rozpoznać.
Można mieć certyfikaty, szyfrowanie i całodobowy SOC. Jeśli jedna osoba może wydać dane klienta na podstawie maila, bo nikt nie napisał, że nie wolno — to wszystko powyżej jest dekoracją wokół otwartych drzwi.