Wojciech Boczoń
-
14.09.2026 (10:09) Revolut potwierdził, że przekazał dane części klientów nieuprawnionej stronie trzeciej. Oszust wykorzystał adres e-mail działający w legalnej domenie agencji rządowej i wysyłał z niego fałszywe wnioski o udostępnienie informacji. Firma nie podała, ilu klientów dotyczy sprawa. Nie odpowiedziała też na nasze pytania, czy wśród poszkodowanych są osoby z Polski.
Sprawa wyszła na jaw po tym, jak część klientów Revoluta otrzymała od firmy informację o incydencie. Treść takiego zawiadomienia opublikował m.in. Mark Karpelès, były szef giełdy Mt. Gox. Napisał, że sam znalazł się wśród osób, których dane zostały przekazane.
Według zawiadomienia przesłanego klientom w ręce nieuprawnionej strony mogły trafić m.in. imię i nazwisko, data urodzenia, adres, numer telefonu i adres e-mail. Lista obejmuje również kopie dokumentów tożsamości, w tym paszportów i praw jazdy, zdjęcia używane przy weryfikacji tożsamości, a także informacje związane z rachunkiem.
W przypadku części klientów zakres danych mógł obejmować również IBAN, wyciągi, informacje o wypłatach oraz historię transakcji, w tym transakcje bitcoinowe. Revolut zapewnia, że jego systemy nie zostały naruszone, a pieniądze klientów są bezpieczne.
Bankier.pl zwrócił się do Revoluta z pytaniami o liczbę poszkodowanych i ewentualnych klientów z Polski, zakres przekazanych danych oraz zmiany w procedurach weryfikowania podobnych wniosków. Firma nie odpowiedziała na te pytania. Przesłała jedynie komentarz dotyczący samego incydentu.
„Revolut zidentyfikował niedawno wyrafinowane, zewnętrzne oszustwo polegające na podszywaniu się, w którym nieuprawniona strona trzecia wykorzystała adres e-mail w legalnej domenie agencji rządowej do przesyłania fałszywych wniosków o udzielenie informacji. Po wykryciu tego procederu natychmiast zablokowaliśmy wspomniany adres i powiadomiliśmy odpowiednią agencję rządową, a także organy ścigania oraz organy nadzoru nad ochroną danych i rynkiem finansowym. Skontaktowaliśmy się bezpośrednio z niewielką liczbą dotkniętych tym incydentem osób, aby je poinformować i zapewnić im wsparcie” – przekazał Revolut.
Nie wiadomo, czy sprawa dotyczy Polski
Revolut nie podał nam, co w tym przypadku oznacza „niewielka liczba” poszkodowanych. Nie odpowiedział również na pytanie, czy są wśród nich klienci z Polski.
Podobnie wyglądały odpowiedzi udzielone zagranicznym mediom. TechCrunch podał, że Revolut odmówił podania dokładnej liczby poszkodowanych i nazwy agencji rządowej, której domenę wykorzystano. Firma nie odpowiedziała również, czy incydent ograniczał się do jednego rynku. Te same informacje uzyskał The Block. Reuters napisał natomiast o „bardzo ograniczonej” liczbie klientów.
Nie wiadomo też, w jaki sposób nieuprawniona osoba uzyskała możliwość korzystania z adresu działającego w prawdziwej domenie agencji rządowej. Revolut nie ujawnił nazwy tej instytucji ani kraju, w którym działa.
Firma informuje, że po wykryciu oszustwa zablokowała wykorzystywany adres oraz zawiadomiła agencję rządową, organy ścigania, organy ochrony danych i nadzoru finansowego.
