Revolut Menafikan Hubungan dengan Penggodam Berhubung Dakwaan Tuntutan Tebusan $3 Juta yang Dilaporkan

Tiada Tuntutan Langsung Diterima, Kata Revolut

Revolut berkata ia tidak menerima sebarang hubungan secara langsung daripada atau tuntutan oleh mana-mana kumpulan yang mendakwa bertanggungjawab atas pelanggaran data baru-baru ini. Penafian syarikat fintech itu dibuat kurang daripada 24 jam selepas laporan bahawa penggodam menuntut 6,000 XMR, bernilai $3 juta, untuk memastikan fail pelanggan yang diakses secara haram tidak dijual di pasaran.

Firma fintech yang beribu pejabat di London itu mengesahkan awal bulan ini bahawa pihak ketiga yang tidak dibenarkan memperoleh maklumat sensitif milik sejumlah kecil pelanggan dengan menggunakan domain e-mel sebuah agensi kerajaan yang sah untuk menghantar permintaan data palsu. Kenyataan awam yang dimuat naik dalam talian minggu ini oleh seorang penggodam yang menggunakan nama “IAmNotAVillain” mengancam untuk mendedahkan atau menjual data pelanggan melainkan Revolut membayar.

“Revolut tidak menerima sebarang hubungan secara langsung daripada atau tuntutan oleh individu atau kumpulan yang membuat dakwaan ini,” kata seorang jurucakap syarikat seperti yang dipetik. Pelanggaran tersebut, yang dilaporkan menyasarkan kira-kira 680 pelanggan bernilai bersih tinggi di seluruh Eropah, tidak melibatkan pencerobohan teknikal secara langsung ke dalam sistem teras Revolut.

Sebaliknya, penyerang menggunakan kejuruteraan sosial untuk menyamar sebagai pihak berkuasa kerajaan selama beberapa bulan, memperoleh fail pengesahan pelanggan, dokumen identiti dan rekod transaksi. Revolut menegaskan bahawa dana pelanggan dan sistem dalaman kekal selamat serta tidak terjejas. Syarikat itu berkata ia menyekat alamat e-mel palsu tersebut selepas mengesan pelanggaran dan melaporkan insiden itu kepada pihak penguatkuasaan undang-undang, pihak berkuasa perlindungan data dan pengawal selia kewangan.

Penganalisis memberi amaran tentang kelemahan KYC

Insiden itu menonjolkan kelemahan sistemik yang lebih luas dalam cara institusi kewangan mengendalikan data identiti wajib. Jonathan Riss, seorang penganalisis perisikan sumber terbuka dan rantaian blok di firma keselamatan Certik, berhujah bahawa punca asasnya melangkaui pertahanan syarikat individu kepada keperluan kawal selia itu sendiri.

“Isu sebenar ialah KYC telah mewujudkan satu lapisan identiti yang amat sensitif yang platform kewangan dikehendaki untuk mengekalkannya, sering kali kerana kerajaan dan pengawal selia menuntut maklumat pelanggan yang semakin terperinci,” kata Riss. “Oleh itu, tanggungjawab tidak terletak hanya pada bank, fintech atau bursa mata wang kripto.”

Menurut Riss, pihak berkuasa awam juga perlu mempertimbangkan sama ada setiap maklumat yang mereka minta benar-benar perlu dan berapa lama ia harus disimpan. Mereka juga harus bertanya sama ada prosedur sedia ada untuk meminta data pelanggan cukup selamat.

Riss, sementara itu, menyatakan bahawa pendedahan fail identiti terperinci boleh membawa risiko dunia sebenar yang lebih tinggi dalam sektor aset digital. “Platform masih perlu meminimumkan pengekalan, mengehadkan akses dan memperkukuh pengesahan permintaan kerajaan dan penguatkuasaan undang-undang melalui saluran pengesahan bebas,” tambah Riss.

Walaupun perdebatan mengenai taktik penggodam akan berterusan, Riss percaya insiden ini sepatutnya mendorong industri dan pengawal selia untuk menilai semula model semasa. Objektifnya tidak lagi seharusnya terhad kepada melindungi dompet dan dana; ia juga perlu merangkumi perlindungan identiti kewangan pengguna.