Revolut, jedna z největších evropských fintech platforem s více než 80 miliony klientů, potvrdil 12. září 2026 únik citlivých osobních a finančních dat. Zajímavé na tomto případu není samotné vydání dat, ale způsob, jakým k němu došlo. Nešlo o klasický hack ani phishing zaměřený na zaměstnance, ale o zneužití e-mailového účtu přímo uvnitř domény skutečné vládní agentury.
Co se stalo
Podle vyjádření Revolutu pro TechCrunch šlo o „sofistikovaný podvod spočívající v napodobování identity“, při kterém neoprávněná třetí strana využila e-mail na legitimní doméně vládní agentury k zasílání podvodných žádostí o informace. Revolut na žádost reagoval standardním postupem, jaký firmy uplatňují u oprávněných požadavků orgánů státní správy a donucovacích orgánů, a poskytl požadovaná data.
Klíčový detail popsala i bezpečnostní komunita kolem incidentu: e-mailová zpráva nepřišla z podvržené nebo podobně vypadající domény. Přišla ze skutečného, ale neautorizovaného účtu vytvořeného přímo v infrastruktuře oficiální vládní domény. Doménová autentizace (SPF, DKIM, DMARC) tedy prošla bez problémů, protože technicky zpráva opravdu pocházela z pravé domény.
Revolut na podvod přišel až zpětně, když si žádost začal ověřovat přímo u dané agentury. Tehdy zjistil, že účet, ze kterého žádost přišla, agentura sama nezná ani neautorizovala. E-mailovou adresu poté zablokoval napříč vlastními systémy a informoval danou agenturu, orgány činné v trestním řízení a příslušné regulátory.
Jaká data unikla
Podle notifikace, kterou Revolut zaslal postiženým klientům a kterou zveřejnil on-chain investigátor ZachXBT, šlo o rozsáhlý balík údajů:
- jméno, datum narození, adresa, telefonní číslo, e-mail
- kopie dokladů totožnosti (pas, řidičský průkaz)
- ověřovací selfie z procesu KYC
- výpisy z účtu a informace o účtu
- IBAN a záznamy o výběrech
- kompletní historie transakcí včetně bitcoinových operací
Revolut zdůraznil, že nedošlo ke kompromitaci peněz ani přihlašovacích údajů a že takzvaná biometrická telemetrie z obličeje (data odvozená z ověřovacích selfie pro účely rozpoznávání obličeje) zpřístupněna nebyla. Samotné fotografie selfie ale mezi uniklými daty byly.
Firma dosud nezveřejnila přesný počet postižených klientů ani název konkrétní zneužité vládní agentury. Podle vyjádření mluvčího šlo o „omezený počet zákazníků“, které Revolut kontaktoval přímo. Investigátor ZachXBT spekuluje, že cílem mohli být především klienti s vyšším majetkem, tuto informaci ale Revolut nepotvrdil.
Proč je tohle horší, než to na první pohled vypadá
Titulky typu „Revolut vydal data klientů“ svádí k tomu vnímat celou věc jako selhání jedné fintech firmy. Skutečný problém je ale širší a týká se způsobu, jakým instituce obecně ověřují žádosti od orgánů veřejné moci.
Banky, telekomunikační operátoři i poskytovatelé cloudových služeb ze zákona musí reagovat na oprávněné žádosti policie, soudů a dalších státních orgánů, často v krátkých lhůtách a bez možnosti požadavek nijak zdržovat. Tento proces stojí na základním předpokladu, že e-mail z domény státní instituce skutečně pochází od dané instituce. Pokud útočník získá přístup přímo dovnitř takové domény, obchází tím veškeré technické kontroly, na které se firmy běžně spoléhají.
V americkém prostředí se tomuto vektoru říká zneužití takzvaného Emergency Data Request (EDR) procesu. Stejnou technikou už v minulosti útočníci získali data od firem jako Discord, Apple nebo Meta, a to díky kompromitovaným účtům policejních nebo justičních e-mailových domén.
Otázka, kterou by si zasloužila víc pozornosti než samotné vydání dat Revolutem, zní: jak se útočník dostal dovnitř infrastruktury vládní agentury a jak dlouho tam měl přístup, než si toho někdo všiml. Na tohle zatím odpověď neexistuje, protože Revolut ani jiný zdroj konkrétní agenturu ani časový rámec kompromitace nezveřejnily.
Kontext
Revolut zrovna zvažuje vstup na burzu s valuací až 200 miliard dolarů, což je výrazný nárůst oproti listopadové soukromé valuaci 75 miliard dolarů. Únik dat v tuto chvíli firmě rozhodně nepomáhá, i když jde formálně o zneužití důvěryhodného externího kanálu, ne o průnik do vlastních systémů Revolutu.
Pro srovnání, poslední větší incident Revolutu z roku 2022 postihl přibližně 50 150 klientů a začal phishingem cíleným na zaměstnance firmy. Tehdy unikla jména, adresy, e-maily, telefonní čísla, částečné údaje o platebních kartách a přehled minulých transakcí. Aktuální únik je svým rozsahem citlivější, protože zahrnuje kompletní KYC dokumentaci a historii kryptoměnových transakcí.
Zdroje
- TechCrunch: Revolut confirms customer data breach through fake government requests
- The Block: Revolut says customer KYC, Bitcoin transaction data exposed after fake request from gov’t domain
- CyberInsider: Revolut handed customer data to fraudsters using a government email domain
- CyberSecurityNews: Revolut Data Breach Exposes Customers‘ Passport Copies and Full Transaction Histories to Hackers
- Novinky.cz: Revolut naletěl podfukářům, kteří se vydávali za vládu. Vydal citlivá data klientů
