Revolut xác nhận rò rỉ dữ liệu khách hàng qua yêu cầu giả mạo từ tên miền cơ quan chính phủ

Revolut, công ty fintech của Anh, vừa xác nhận đã tiết lộ thông tin nhạy cảm của khách hàng cho một bên thứ ba trái phép. Nguyên nhân xuất phát từ các yêu cầu giả mạo được gửi từ tên miền email của một cơ quan chính phủ hợp pháp.

Sự việc ảnh hưởng đến một số lượng khách hàng được mô tả là "hạn chế", nhưng công ty từ chối công bố con số cụ thể cũng như thị trường bị ảnh hưởng.

Dữ liệu nào bị lộ?

Theo thông báo gửi tới khách hàng bị ảnh hưởng, dữ liệu bị rò rỉ bao gồm:

• Thông tin định danh và liên hệ: ngày sinh, địa chỉ bưu chính, địa chỉ email và số điện thoại
• Bản sao giấy tờ tùy thân: hộ chiếu và giấy phép lái xe
• Có thể bao gồm ảnh selfie xác minh, sao kê tài khoản và lịch sử giao dịch

Revolut khẳng định hệ thống của công ty và tiền của khách hàng không bị ảnh hưởng. Đây là điểm quan trọng giúp phân biệt sự cố này với một cuộc tấn công chiếm đoạt tài khoản thông thường.

Kịch bản tấn công tinh vi

Phát ngôn viên của Revolut mô tả đây là một "chiêu lừa đảo mạo danh tinh vi từ bên ngoài", trong đó bên thứ ba trái phép sử dụng tên miền email của một cơ quan chính phủ hợp pháp để gửi yêu cầu cung cấp thông tin.

"Revolut gần đây đã phát hiện một chiêu lừa đảo mạo danh tinh vi từ bên ngoài, trong đó một bên thứ ba trái phép sử dụng tên miền email của cơ quan chính phủ hợp pháp để gửi các yêu cầu thông tin gian dối."

Sau khi phát hiện, công ty đã chặn địa chỉ email liên quan và thông báo cho cơ quan chính phủ, cơ quan thực thi pháp luật cùng các nhà quản lý tài chính liên quan.

Điểm đáng chú ý là kẻ tấn công không cần xâm nhập hệ thống mà khai thác lòng tin vào quy trình xác minh danh tính của cơ quan nhà nước. Đây là dạng tấn công kỹ thuật xã hội (social engineering) ngày càng phổ biến, nhắm vào chính con người thay vì lỗ hổng phần mềm.

Nhắm vào khách hàng giàu có?

Nhà nghiên cứu bảo mật tiền mã hóa nổi tiếng ZachXBT đã chia sẻ về email mà Revolut gửi cho khách hàng bị ảnh hưởng. Theo nhà nghiên cứu này, sự cố dường như nhắm mục tiêu vào những khách hàng có giá trị tài sản ròng cao.

Nếu đúng như vậy, đây là mối lo đáng kể bởi nhóm khách hàng này thường là mục tiêu của các chiến dịch lừa đảo tinh vi, đánh cắp danh tính và tống tiền.

Bối cảnh mở rộng của Revolut

Revolut có trụ sở tại London với hơn 80 triệu khách hàng toàn cầu, hoạt động như một ngân hàng tại hơn 30 quốc gia. Công ty gần đây mở rộng sang các thị trường như Ấn Độ, Mexico, Pháp và UAE.

Đầu tháng này, Văn phòng Kiểm soát Tiền tệ Hoa Kỳ đã cấp phê duyệt có điều kiện để Revolut thành lập ngân hàng quốc gia tại Mỹ, dự kiến ra mắt trong nửa đầu năm 2027. Công ty cũng đang cân nhắc niêm yết công khai với định giá có thể lên tới 200 tỷ USD, tăng mạnh so với mức 75 tỷ USD hồi tháng 11.

Bài học cho người dùng Việt Nam

Sự cố này là lời cảnh tỉnh cho cả doanh nghiệp lẫn người dùng tại Việt Nam, đặc biệt trong bối cảnh các ứng dụng ví điện tử và ngân hàng số đang phát triển nhanh chóng:

• Doanh nghiệp cần xác minh nhiều lớp với mọi yêu cầu cung cấp dữ liệu khách hàng, kể cả khi yêu cầu đến từ tên miền chính thức của cơ quan nhà nước
• Người dùng nên cảnh giác với các yêu cầu cung cấp ảnh giấy tờ tùy thân hoặc selfie xác minh qua email, tin nhắn không rõ nguồn gốc
• Luôn bật xác thực hai yếu tố (2FA) và theo dõi các giao dịch bất thường trên tài khoản tài chính

Với lượng dữ liệu cá nhân nhạy cảm bị lộ, khách hàng bị ảnh hưởng nên chủ động theo dõi dấu hiệu lạm dụng danh tính và cân nhắc thay đổi thông tin xác thực liên quan.