Британская финтех-компания Revolut Ltd. подтвердила факт несанкционированной передачи конфиденциальной информации ограниченного круга клиентов третьей стороне в результате сложной схемы внешней имперсонации с использованием легитимного почтового домена государственного ведомства. Инцидент, впервые освещенный TechCrunch, обнажает критическую уязвимость в процедурах верификации запросов на раскрытие данных, даже когда сама инфраструктура компании остается невзломанной.
Механика атаки и раскрытые данные
Согласно уведомлениям, направленным пострадавшим клиентам, злоумышленники использовали подлинный домен электронной почты государственного органа для отправки мошеннических запросов на предоставление информации. Revolut, идентифицировав запросы как легитимные, раскрыла данные неавторизованной третьей стороне.
Скомпрометированный массив данных включает критически важные элементы процедур KYC (Know Your Customer) и идентификации: даты рождения, почтовые и электронные адреса, номера телефонов, а также копии удостоверяющих личность документов — паспортов и водительских удостоверений. Согласно уведомлению, в отдельных случаях могли быть затронуты верификационные селфи, банковские выписки и истории транзакций. Исследователь в области криптобезопасности ZachXBT, первым опубликовавший информацию об уведомлении, отметил, что инцидент, по-видимому, был нацелен на клиентов с высоким уровнем благосостояния, а утечка также могла связать биткоин-кошельки с реальными личностями владельцев.
Представитель Revolut охарактеризовал инцидент как «сложную внешнюю имперсонацию» и подтвердил, что компания заблокировала соответствующий адрес электронной почты сразу после обнаружения схемы. Были уведомлены «соответствующее государственное ведомство», правоохранительные органы, регуляторы в области защиты данных и финансового надзора. Компания настаивает: «Системы Revolut и средства клиентов не затронуты». Точное число пострадавших не раскрывается; Revolut ограничивается формулировкой «ограниченное число клиентов», с которыми была установлена прямая коммуникация.
Контекст: экспансия на фоне инцидента
Инцидент происходит в период интенсивной глобальной экспансии Revolut, что придает ему дополнительную репутационную чувствительность. Компания обслуживает более 80 миллионов клиентов в 40 странах и ставит целью достижение 100 миллионов. В ходе вторичной продажи акций в июле 2026 года Revolut была оценена в 115 миллиардов долларов США, что на 53% превысило оценку предыдущего раунда и сделало ее самым дорогим финтех-стартапом Европы.
Наиболее значимым стратегическим событием стало получение в начале сентября 2026 года условного одобрения от Управления контролера денежного обращения США (OCC) на создание национального банка — Revolut Bank US NA. Регулятор обязал новый банк поддерживать коэффициент левериджа первого уровня не ниже 10% в течение первых трех лет работы и внести не менее 95 млн долларов на покрытие организационных расходов. Основатель и CEO компании Николай Сторонский прокомментировал: «Невозможно построить по-настоящему глобальный банк, не став полносервисным банком в США».
Параллельно Revolut развивает присутствие в Латинской Америке — с января 2026 года запущены полноценные банковские операции в Мексике, первом банковском подразделении компании за пределами Европы. В Индии компания начала контролируемое бета-развертывание для 450 тыс. пользователей из листа ожидания, планируя разместить до 40% глобального персонала в стране. Кроме того, рассматривается возможность IPO с целевой оценкой до 200 млрд долларов, хотя, по данным Financial Times, размещение вряд ли состоится ранее 2028 года.
Последствия и стратегические импликации
Инцидент поднимает фундаментальный вопрос о надежности процедур верификации запросов от государственных органов в финтех-индустрии. Атака не была техническим взломом инфраструктуры — злоумышленники эксплуатировали доверие к авторитетному источнику, используя подлинный домен. Это указывает на необходимость внедрения многоуровневых протоколов подтверждения для любых запросов на раскрытие персональных данных, включая обязывающую верификацию через независимые каналы связи.
Для Revolut, находящейся в активной фазе получения банковских лицензий в нескольких юрисдикциях, инцидент создает дополнительную нагрузку в диалоге с регуляторами. Ужесточение требований к управлению данными и отчетности об инцидентах безопасности в рамках таких нормативных актов, как GDPR и DORA, означает, что подобные события будут подвергаться тщательному анализу в контексте оценки надежности и операционной устойчивости компании.
Инцидент также актуализирует дискуссию о токенизации и фрагментации данных: чем больше идентификационных и транзакционных данных хранится в единой среде, тем выше потенциальная ценность компрометации. Переход к архитектурам с раздельным хранением верификационных данных и транзакционной активности становится не просто технологическим трендом, а императивом безопасности.
Revolut заявляет, что системы и средства клиентов не пострадали. Однако для компании, стремящейся к статусу «первого по-настоящему глобального банка», устойчивость доверия клиентов и регуляторов становится таким же критическим активом, как и капитальная база. Текущий инцидент — тест на зрелость процедур реагирования и прозрачность коммуникации, результаты которого будут иметь значение далеко за пределами одного кейса.