ZachXBT, nhà điều tra onchain nổi tiếng, phát đi cảnh báo trên kênh Telegram rằng Revolut đã chuyển dữ liệu người dùng cho bên thứ ba không được ủy quyền. Yêu cầu được gửi từ email thuộc tên miền của một cơ quan chính phủ, khiến Revolut tin rằng đây là yêu cầu hợp pháp.
Dữ liệu bị lộ bao gồm họ tên đầy đủ, thông tin liên hệ, bản sao giấy tờ tùy thân, ảnh selfie xác minh, số IBAN, sao kê ngân hàng, lịch sử rút tiền và toàn bộ lịch sử giao dịch Bitcoin. ZachXBT cho biết số tài khoản bị ảnh hưởng ở mức hạn chế, nhưng lưu ý rằng cuộc tấn công có thể nhắm specifically vào người dùng có tài sản lớn. Một số nạn nhân đã nhận được email thông báo chính thức từ Revolut.
Điểm đáng lo ngại nhất không phải là lỗ hổng kỹ thuật, mà là cách thức tấn công: kẻ xấu không hack hệ thống Revolut, mà lợi dụng uy tín của cơ quan chính phủ bằng cách gửi yêu cầu từ email tên miền thật. Đây là hình thức lừa đảo có tên “giả mạo yêu cầu pháp lý” (fraudulent legal request), từng xuất hiện tại các công ty công nghệ lớn khác.
Sự cố xảy ra trong bối cảnh Revolut đang mở rộng mạnh mẽ dịch vụ crypto. Công ty có hơn 50 triệu người dùng toàn cầu và đã nhận được giấy phép MiCA tại châu Âu. Vụ việc đặt ra câu hỏi về quy trình xác minh yêu cầu từ cơ quan chính phủ tại các fintech xử lý dữ liệu tài chính nhạy cảm.
Revolut chưa đưa ra bình luận chi tiết ngoài xác nhận rằng “một số lượng hạn chế” người dùng bị ảnh hưởng đã được thông báo. Công ty cho biết đang rà soát lại quy trình xử lý yêu cầu pháp lý.