Revolut Membantah Telah Dihubungi Peretas Terkait Laporan Tuntutan Tebusan Senilai $3 Juta

Revolut Mengatakan Tidak Menerima Permintaan Langsung

Revolut mengatakan bahwa mereka belum menerima kontak langsung atau tuntutan dari kelompok mana pun yang mengaku bertanggung jawab atas pelanggaran data baru-baru ini. Penolakan perusahaan fintech tersebut muncul kurang dari 24 jam setelah muncul laporan bahwa peretas menuntut 6.000 XMR, senilai $3 juta, agar file pelanggan yang diakses secara ilegal tidak beredar di pasar.

Perusahaan fintech yang berbasis di London ini mengonfirmasi awal bulan ini bahwa pihak ketiga yang tidak berwenang memperoleh informasi sensitif milik sejumlah kecil pelanggan dengan menggunakan domain email lembaga pemerintah yang sah untuk mengirimkan permintaan data palsu. Pernyataan publik yang diposting secara daring pekan ini oleh seorang peretas yang beroperasi dengan nama “IAmNotAVillain” mengancam akan merilis atau menjual data pelanggan kecuali Revolut membayar.

“Revolut belum menerima kontak langsung atau tuntutan apa pun dari individu atau kelompok yang membuat klaim ini,” kata juru bicara perusahaan seperti dikutip. Insiden kebocoran data ini, yang dilaporkan menargetkan sekitar 680 pelanggan dengan kekayaan bersih tinggi di seluruh Eropa, tidak melibatkan intrusi teknis langsung ke sistem inti Revolut.

Sebaliknya, para penyerang menggunakan teknik rekayasa sosial untuk menyamar sebagai otoritas pemerintah selama beberapa bulan, sehingga memperoleh berkas verifikasi pelanggan, dokumen identitas, dan catatan transaksi. Revolut menekankan bahwa dana pelanggan dan sistem internal tetap aman serta tidak terpengaruh. Perusahaan tersebut mengatakan telah memblokir alamat email penipuan tersebut setelah menemukan pelanggaran tersebut dan melaporkan insiden tersebut kepada penegak hukum, otoritas perlindungan data, dan regulator keuangan.

Analis memperingatkan tentang kerentanan KYC

Insiden ini menyoroti kerentanan sistemik yang lebih luas dalam cara lembaga keuangan menangani data identitas wajib. Jonathan Riss, seorang analis intelijen open-source dan blockchain di perusahaan keamanan Certik, berpendapat bahwa akar masalahnya melampaui pertahanan perusahaan individu hingga ke persyaratan regulasi itu sendiri.

“Masalah sebenarnya adalah bahwa KYC telah menciptakan lapisan identitas yang sangat sensitif yang wajib dijaga oleh platform keuangan, seringkali karena pemerintah dan regulator menuntut informasi nasabah yang semakin rinci,” kata Riss. “Oleh karena itu, tanggung jawab tidak hanya berada di pundak bank, fintech, atau bursa kripto.”

Menurut Riss, otoritas publik juga perlu mempertimbangkan apakah setiap informasi yang mereka minta benar-benar diperlukan dan berapa lama informasi tersebut harus disimpan. Mereka harus menanyakan apakah prosedur yang ada untuk meminta data pelanggan sudah cukup aman.

Sementara itu, Riss mencatat bahwa paparan berkas identitas yang terperinci dapat menimbulkan risiko nyata yang lebih tinggi di sektor aset digital. “Platform tetap harus meminimalkan penyimpanan, membatasi akses, dan memperkuat otentikasi permintaan dari pemerintah dan penegak hukum melalui saluran verifikasi independen,” tambah Riss.

Meskipun perdebatan mengenai taktik para peretas akan terus berlanjut, Riss percaya bahwa insiden ini harus mendorong industri dan regulator untuk memikirkan kembali model yang ada saat ini. Tujuannya tidak boleh lagi terbatas pada melindungi dompet dan dana; tetapi juga harus mencakup perlindungan identitas keuangan pengguna.