Revolut bị lừa bởi yêu cầu giả mạo từ cơ quan chính phủ, rò rỉ dữ liệu khách hàng

Revolut, ngân hàng số hàng đầu nước Anh, vừa xác nhận một sự cố bảo mật nghiêm trọng khiến dữ liệu nhạy cảm của khách hàng bị rò rỉ. Nguyên nhân là do công ty đã tin tưởng và phản hồi các yêu cầu cung cấp thông tin giả mạo được gửi từ tên miền email của một cơ quan chính phủ hợp pháp.

Sự việc một lần nữa gióng lên hồi chuông cảnh báo về những cuộc tấn công giả mạo ngày càng tinh vi, khi kẻ gian không còn chỉ nhắm vào người dùng cá nhân mà trực tiếp lợi dụng lòng tin của các tổ chức lớn.

Kẻ mạo danh lợi dụng tên miền chính phủ

Theo thông tin được chia sẻ, kẻ tấn công đã sử dụng một tên miền email hợp pháp của cơ quan chính phủ để gửi các yêu cầu cung cấp dữ liệu giả mạo tới Revolut. Công ty cho biết đây là một "chiêu trò mạo danh tinh vi từ bên ngoài" và họ đã phát hiện ra sau khi dữ liệu đã bị chuyển đi.

Revolut không tiết lộ danh tính cụ thể của cơ quan chính phủ bị lợi dụng, cũng như không công bố số lượng khách hàng bị ảnh hưởng. Tuy nhiên, các nguồn tin thân cận cho biết chỉ một tỷ lệ nhỏ khách hàng bị tác động.

"Revolut gần đây đã phát hiện một chiêu trò mạo danh tinh vi từ bên ngoài, trong đó một bên thứ ba trái phép đã sử dụng tên miền email của cơ quan chính phủ hợp pháp để gửi các yêu cầu thông tin gian lận. Ngay khi phát hiện, chúng tôi đã chặn địa chỉ này và thông báo cho cơ quan chính phủ liên quan cũng như các cơ quan thực thi pháp luật, bảo vệ dữ liệu và quản lý tài chính." — Đại diện Revolut

Dữ liệu nào đã bị lộ?

Theo các thông báo mà Revolut gửi đến khách hàng bị ảnh hưởng, được nhà điều tra blockchain ZachXBT chia sẻ, dữ liệu bị rò rỉ bao gồm:

• Giấy tờ tùy thân xác minh danh tính (KYC): hộ chiếu hoặc bằng lái xe mà khách hàng đã nộp khi đăng ký tài khoản
• Ảnh selfie xác minh: hình ảnh chụp qua ứng dụng trong quá trình xác thực
• Sao kê tài khoản và số IBAN
• Lịch sử rút tiền và toàn bộ lịch sử giao dịch, bao gồm cả các giao dịch Bitcoin
• Thông tin cá nhân: họ tên đầy đủ, ngày sinh, địa chỉ nhà, địa chỉ email, số điện thoại và nghề nghiệp

Đáng chú ý, một số dữ liệu bị rò rỉ được cho là thuộc về các cá nhân nổi tiếng, bao gồm giám đốc điều hành doanh nghiệp, vận động viên thể thao chuyên nghiệp và nghệ sĩ biểu diễn.

Đòi tiền chuộc bằng Bitcoin

Những kẻ nhận trách nhiệm cho cuộc tấn công đã đăng tải thông tin trên nhiều nhóm Telegram khác nhau. Chúng đe dọa sẽ công bố "ngày càng nhiều dữ liệu mỗi ngày cho đến khi Revolut trả tiền vì đã làm rò rỉ thông tin khách hàng của mình".

Số tiền chuộc mà chúng yêu cầu lên tới 10.000 Bitcoin, tương đương hơn 782 triệu USD theo thời giá hiện tại.

Revolut từ chối bình luận về yêu cầu tiền chuộc khi được hỏi.

Quy mô và tác động

Revolut hiện phục vụ hơn 80 triệu khách hàng cá nhân trên toàn cầu cùng hơn 800.000 doanh nghiệp. Công ty đã nhận được phê duyệt thành lập ngân hàng tại Anh vào tháng 3/2026, đánh dấu một cột mốc quan trọng trong chiến lược mở rộng.

Nhà đồng sáng lập kiêm CEO Nikolay Storonsky từng ám chỉ về kế hoạch đưa công ty lên sàn chứng khoán, nhưng không trước năm 2028, với mục tiêu định giá khoảng 200 tỷ USD.

Bài học cho người dùng và doanh nghiệp

Sự cố này nhấn mạnh hai vấn đề quan trọng:

Thứ nhất, ngay cả các tổ chức tài chính lớn cũng có thể bị lừa bởi những yêu cầu giả mạo được ngụy trang tinh vi. Việc kẻ tấn công lợi dụng được tên miền email chính phủ hợp pháp cho thấy các quy trình xác minh danh tính của tổ chức cần được siết chặt hơn nữa.

Thứ hai, dữ liệu KYC một khi bị lộ sẽ rất khó khắc phục. Hộ chiếu, ảnh selfie và thông tin cá nhân kết hợp lại tạo thành kho dữ liệu lý tưởng cho tội phạm mạng, phục vụ cho các cuộc tấn công lừa đảo tiếp theo hoặc mạo danh danh tính.

Đối với người dùng tại Việt Nam, đây cũng là lời nhắc nhở về việc bảo vệ thông tin cá nhân khi sử dụng các dịch vụ tài chính số, cũng như cảnh giác với các liên lạc yêu cầu cung cấp thông tin dù chúng đến từ những địa chỉ có vẻ đáng tin cậy.