Revolut a confirmat o breșă de securitate: ce pași trebuie făcuți pentru protejarea contului
Revolut a confirmat că informații sensibile aparținând unui număr limitat de clienți au ajuns la o terță parte neautorizată.
Compania a fost indusă în eroare de solicitări frauduloase trimise de pe un domeniu de e-mail legitim al unei instituții guvernamentale.
Printre informațiile care ar fi putut fi divulgate se numără numele, data nașterii, adresa, numărul de telefon, IBAN-ul, copii ale actelor de identitate, fotografii folosite pentru verificarea identității, extrasele de cont și istoricul tranzacțiilor.
Revolut susține că sistemele sale nu au fost compromise, banii clienților nu au fost afectați direct, iar persoanele vizate au fost contactate individual.
Compania nu a comunicat deocamdată numărul exact al clienților afectați sau țările în care aceștia locuiesc.
Cum verifici dacă datele tale au fost expuse
Primul pas este să verifici dacă ai primit o notificare individuală de la Revolut.
Mesajul trebuie analizat cu prudență: atacatorii pot profita chiar de știrea incidentului pentru a trimite e-mailuri false prin care pretind că „securizează” conturile clienților.
Nu apăsa linkurile dintr-un mesaj suspect și nu suna la numerele indicate în acesta.
Deschide separat aplicația Revolut și contactează serviciul de asistență prin chatul integrat.
Cere confirmarea că notificarea este autentică și că te afli printre persoanele afectate.
Faptul că nu ai primit un e-mail nu demonstrează cu certitudine că datele tale nu au fost implicate.
Notificările pot ajunge cu întârziere sau în folderul spam, iar compania poate actualiza ulterior lista persoanelor vizate.
Cere Revolut lista exactă a informațiilor divulgate
Clientul trebuie să afle ce date au fost transmise în cazul său concret.
Nu toate persoanele afectate au avut neapărat expuse aceleași categorii de informații.
Prin chatul din aplicație sau printr-o solicitare adresată responsabilului pentru protecția datelor, clientul poate cere:
- ce informații personale au fost divulgate;
- data sau perioada în care s-a produs incidentul;
- dacă au fost expuse copii ale pașaportului, cărții de identitate ori permisului;
- dacă au fost transmise fotografii de verificare sau date biometrice;
- dacă au fost divulgate IBAN-ul, soldurile și istoricul tranzacțiilor;
- ce măsuri a luat compania pentru recuperarea sau ștergerea datelor;
- ce riscuri concrete a identificat Revolut pentru persoana respectivă;
- la ce autorități a fost raportat incidentul.
Politica Revolut permite clienților să solicite informații despre datele personale și să contacteze responsabilul companiei la adresa [email protected].
Potrivit articolului 34 din Regulamentul general privind protecția datelor, atunci când o breșă poate crea un risc ridicat pentru persoană, notificarea trebuie să descrie natura incidentului, posibilele consecințe și măsurile luate pentru limitarea acestora.
Schimbă imediat codul de acces și protejează e-mailul
Deși Revolut afirmă că infrastructura sa nu a fost spartă, schimbarea codului de acces din aplicație este o măsură de precauție justificată.
Codul nou nu trebuie să fie folosit și pentru telefon, alte aplicații bancare sau conturi online.
Trebuie securizată în special adresa de e-mail asociată contului Revolut:
- schimbă parola dacă este veche, slabă sau reutilizată;
- activează autentificarea în doi pași;
- verifică dispozitivele și sesiunile conectate;
- elimină regulile necunoscute de redirecționare a mesajelor;
- schimbă și parolele celorlalte conturi pe care ai folosit aceeași combinație.
Atacatorii care cunosc numele, adresa de e-mail, numărul de telefon și detalii despre cont pot încerca să preia controlul asupra e-mailului sau să convingă operatorul de telefonie să transfere numărul pe o altă cartelă SIM.
Trebuie blocat cardul Revolut?
Nu automat.
Informațiile făcute publice până acum nu arată că numărul complet al cardului, codul PIN sau codul de securitate CVC ar fi fost divulgate în toate cazurile.
Cardul trebuie însă blocat imediat din aplicație dacă apar:
- plăți sau retrageri necunoscute;
- tentative de plată refuzate pe care nu le-ai inițiat;
- notificări privind adăugarea cardului într-un portofel digital;
- solicitări de autorizare pe care nu le recunoști;
- dispozitive necunoscute conectate la cont.
Tranzacția suspectă trebuie raportată direct din aplicație, iar cardul poate fi înlocuit.
Până la clarificarea situației, clientul poate reduce limitele de plată și retragere și poate dezactiva temporar funcțiile pe care nu le folosește.
În lipsa unei tranzacții suspecte sau a confirmării că datele cardului au fost expuse, închiderea contului și mutarea precipitată a tuturor banilor nu sunt obligatorii.
Principalul pericol poate apărea după incident
Expunerea istoricului tranzacțiilor le permite atacatorilor să construiască fraude foarte credibile.
Aceștia pot cunoaște numele unor comercianți, sumele transferate, IBAN-ul, soldul ori operațiunile cu criptomonede și pot folosi aceste detalii pentru a câștiga încrederea victimei.
Un fals angajat Revolut ar putea afirma, de exemplu, că a identificat o tranzacție reală și că banii trebuie mutați într-un „cont sigur”.
O instituție financiară nu îi cere clientului:
- codul PIN sau codurile primite prin SMS;
- parola ori codul de acces în aplicație;
- aprobarea unei operațiuni pe care nu a inițiat-o;
- instalarea unei aplicații de control la distanță;
- transferarea banilor într-un „cont de securitate”.
Nici afișarea pe telefon a unui număr aparent autentic nu reprezintă o garanție.
Numărul apelantului poate fi falsificat.
Ce faci dacă au fost expuse actele de identitate
O copie a cărții de identitate, a pașaportului sau a permisului poate fi folosită în tentative de deschidere a unor conturi, contractare a unor împrumuturi, înregistrare pe platforme financiare sau convingere a altor companii că atacatorul este titularul documentului.
Clientul trebuie să păstreze notificarea Revolut și toate răspunsurile primite de la companie.
Acestea pot demonstra ulterior că documentele au ajuns la o persoană neautorizată.
Expunerea unei copii nu duce automat la anularea actului.
De asemenea, documentul nu trebuie declarat în mod neadevărat pierdut sau furat.
Persoana afectată poate cere însă îndrumări instituției emitente, iar dacă apar dovezi că actul a fost utilizat fraudulos, trebuie depusă imediat o plângere la Poliție.
Înlocuirea documentului poate fi analizată împreună cu autoritatea emitentă, mai ales dacă seria și numărul acestuia au fost folosite într-o fraudă.
Verifică dacă au fost făcute credite în numele tău
În România nu există un mecanism general prin care cetățeanul să poată „îngheța” preventiv orice creditare, după modelul disponibil în alte state.
Persoana afectată poate însă solicita periodic situația înscrierii sale în baza Biroului de Credit.
Apariția unei interogări, a unei cereri sau a unui împrumut necunoscut trebuie semnalată imediat instituției financiare respective.
Dacă un contract a fost încheiat prin folosirea frauduloasă a identității, trebuie sesizată și Poliția, fără a aștepta acumularea ratelor sau începerea procedurilor de recuperare.
Merită urmărite și mesajele primite de la bănci, IFN-uri, operatori de telefonie și platforme pe care persoana nu le folosește.
Acestea pot fi primele indicii că cineva încearcă să deschidă un cont sau să încheie un contract în numele său.
Atenție la schimbarea neautorizată a cartelei SIM
Numărul de telefon poate fi folosit pentru recuperarea accesului la conturi și pentru primirea codurilor de confirmare.
Dacă telefonul pierde brusc semnalul fără o explicație, clientul trebuie să contacteze imediat operatorul de telefonie.
Este recomandată stabilirea unui cod sau a unei parole suplimentare pentru relația cu operatorul, dacă acesta oferă opțiunea.
Orice notificare despre emiterea unei cartele SIM sau eSIM care nu a fost solicitată trebuie tratată ca o urgență.
Ce faci dacă observi o fraudă
În cazul unei plăți sau al unui transfer necunoscut, ordinea reacției este importantă:
- blochezi cardul și raportezi tranzacția în aplicație;
- contactezi imediat suportul Revolut;
- securizezi e-mailul și numărul de telefon;
- păstrezi mesajele, numerele, capturile de ecran și confirmările operațiunilor;
- depui plângere la Poliție dacă există o tentativă de furt de identitate sau o pagubă;
- raportezi mesajele și site-urile frauduloase către Directoratul Național de Securitate Cibernetică.
Nu trebuie șterse conversațiile cu atacatorii.
Acestea pot ajuta la identificarea traseului banilor și pot deveni probe.
Clientul poate reclama Revolut la autoritatea pentru protecția datelor
Persoana afectată poate adresa mai întâi o cerere sau o reclamație Revolut, solicitând explicații complete și măsuri concrete de protecție.
Dacă răspunsul lipsește, este incomplet sau clientul consideră că drepturile sale au fost încălcate, poate depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Plângerea trebuie să cuprindă datele de identificare și contact ale reclamantului, obiectul sesizării, demersurile făcute anterior și documentele relevante: notificarea Revolut, răspunsurile companiei și eventualele dovezi ale prejudiciului.
Despăgubirile nu se acordă automat doar pentru că datele au fost divulgate.
Articolul 82 din GDPR permite însă solicitarea reparării unui prejudiciu material sau moral produs de încălcarea regulamentului.
Clientul trebuie să poată arăta existența prejudiciului și legătura acestuia cu incidentul.
Ce trebuie să păstrezi în următoarele luni
Monitorizarea nu trebuie oprită după câteva zile.
Copiile actelor de identitate și datele financiare pot fi folosite și la mult timp după incident.
Într-un dosar separat ar trebui păstrate:
- notificarea originală primită de la Revolut;
- lista datelor despre care compania confirmă că au fost divulgate;
- numerele cererilor și conversațiile cu serviciul de asistență;
- extrasele de cont din perioada incidentului;
- capturile mesajelor sau apelurilor suspecte;
- răspunsurile băncilor, operatorilor și autorităților;
- documentele care dovedesc eventualele cheltuieli sau pierderi.
Cea mai importantă regulă este ca victima să nu se lase grăbită de nimeni.
Tocmai informațiile reale divulgate în incident pot fi folosite pentru a construi mesaje aproape imposibil de deosebit de comunicările autentice.
Orice solicitare privind banii sau accesul la cont trebuie verificată separat, direct în aplicația Revolut.
