Revolut potwierdza wyciek danych klientów. Mogły trafić tam dokumenty Polaków

Jak podaje serwis "Fakt", popularna cyfrowa platforma finansowa Revolut potwierdziła incydent związany z wyciekiem danych części użytkowników. Firma podkreśla, że zdarzenie nie dotyczyło środków zgromadzonych na kontach ani jej systemów finansowych. O sprawie poinformowano już właściwe służby i organy nadzorcze.

Revolut jest jedną z najpopularniejszych platform finansowych. Według danych z końca marca 2026 roku przytoczonych przez Bankier.pl z usług aplikacji korzystało w Polsce około 5,2 mln klientów.

Do incydentu doszło po tym, jak sprawca podszył się pod przedstawiciela instytucji państwowej, wykorzystując prawdziwą domenę rządową. Revolut po wykryciu oszustwa odciął wskazany adres i powiadomił odpowiednie organy, jednak nie ujawnił, z jakiego kraju pochodziła domena. Firma zaznaczyła, że zdarzenie nie oznaczało włamania do jej systemów, a pieniądze klientów nie były zagrożone.

Mechanizm jest podręcznikowym przykładem socjotechniki. Warto przypomnieć sobie, czym jest phishing i jak się przed nim ustrzec, bo podszywanie się pod zaufane instytucje to dziś najskuteczniejsza metoda cyberprzestępców. Podobny schemat wykorzystano niedawno w kampanii, w której oszuści polują na klientów ING, strasząc ich blokadą konta.

Osoby, które mogły znaleźć się wśród poszkodowanych, zostały poinformowane przez Revolut i otrzymały od firmy propozycję wsparcia. Jak podaje "Fakt", o skali ujawnionych informacji pisał na platformie Telegram użytkownik ZachXBT.

Według jego ustaleń osoba trzecia mogła uzyskać dostęp m.in. do danych identyfikacyjnych klientów, takich jak imiona i nazwiska, daty urodzenia oraz wykonywany zawód, a także ich adresów, adresów e-mail i numerów telefonów.

W ręce osoby nieuprawnionej mogły trafić również materiały wykorzystywane do potwierdzania tożsamości klientów, w tym skany paszportów i praw jazdy oraz zdjęcia wykonane przy weryfikacji.

Revolut poinformował, że problem dotyczył niewielkiej grupy użytkowników. Firma nie ujawniła jednak, ilu klientów mogło znaleźć się w tej grupie. Dla porównania, głośny wyciek danych medycznych MyDr mógł objąć nawet 19 mln osób, co pokazuje, jak różna bywa skala tego typu zdarzeń.

Po ujawnieniu wycieku firma odcięła możliwość dalszego korzystania z adresu, którym posłużył się oszust. Revolut przeanalizował sytuację i wdrożył dodatkowe zabezpieczenia, które mają ograniczyć konsekwencje zdarzenia oraz zapobiec podobnym przypadkom w przyszłości. To kolejny ruch fintechu w tym obszarze, wcześniej informowaliśmy, że Revolut ma nową funkcję bezpieczeństwa, która ma ochronić pieniądze Polaków przed oszustami podszywającymi się pod konsultantów banku.

Rzecznik Revoluta wyjaśnił, w jaki sposób doszło do zdarzenia i jakie kroki firma podjęła po jego wykryciu. Jak przekazał, sprawca wykorzystał prawdziwy adres w domenie należącej do instytucji rządowej, aby przesłać do Revoluta spreparowane żądania dotyczące danych klientów.

"Revolut zidentyfikował niedawno wyrafinowane, zewnętrzne oszustwo polegające na podszywaniu się, w którym nieuprawniona strona trzecia wykorzystała adres e-mail w legalnej domenie agencji rządowej do przesyłania fałszywych wniosków o udzielenie informacji. Po wykryciu tego procederu natychmiast zablokowaliśmy wspomniany adres i powiadomiliśmy odpowiednią agencję rządową, a także organy ścigania oraz organy nadzoru nad ochroną danych i rynkiem finansowym. Skontaktowaliśmy się bezpośrednio z niewielką liczbą dotkniętych tym incydentem osób, aby je poinformować i zapewnić im wsparcie" – czytamy w oświadczeniu cytowany przez serwis.

Firma deklaruje, że na bieżąco monitoruje swoje systemy, aby wykrywać potencjalne zagrożenia, a w wyjaśnienie incydentu zaangażowane są właściwe instytucje odpowiedzialne za bezpieczeństwo danych.

Jeśli wśród ujawnionych informacji znalazły się dokumenty tożsamości, podstawowym krokiem ochronnym pozostaje blokada numeru identyfikacyjnego. Jak przypominaliśmy zastrzeżenie PESEL trwa kilka sekund. Warto też zachować czujność wobec telefonów i maili od osób podających się za pracowników banku.

Spółka jednocześnie zapewnia, że ochrona informacji należących do klientów pozostaje dla niej jednym z najważniejszych priorytetów.