Revolut: Παραβίαση στη DriveWealth εκθέτει προσωπικά δεδομένα πελατών

Νέα ανησυχία για την ασφάλεια των δεδομένων πελατών της Revolut προκαλεί περιστατικό κυβερνοασφάλειας στη DriveWealth, την αμερικανική χρηματιστηριακή εταιρεία που λειτουργεί ως συνεργάτης για τις συναλλαγές σε αμερικανικές μετοχές. Η DriveWealth επιβεβαίωσε ότι μη εξουσιοδοτημένος φορέας απέκτησε πρόσβαση σε συστήματά της στις 4 και 5 Σεπτεμβρίου 2026, με αποτέλεσμα να εκτεθούν ιστορικά προσωπικά δεδομένα ορισμένων πελατών.

Η ίδια η Revοlut ενημέρωσε τους πελάτες που ενδέχεται να επηρεάζονται, διευκρινίζοντας ότι το περιστατικό σημειώθηκε στα συστήματα της DriveWealth και δεν αποτελεί παραβίαση των ίδιων των συστημάτων της Revοlut. Η DriveWealth λειτουργεί ως clearing broker για τις Revοlut Securities Inc. και Revοlut Wealth Inc., όπως αναφέρεται και στις σχετικές συμφωνίες της Revοlut.

DriveWealth – Πώς έγινε η παραβίαση

Σύμφωνα με τις μέχρι τώρα πληροφορίες, η επίθεση συνδέεται με εκστρατεία κοινωνικής μηχανικής, μέσω της οποίας άγνωστοι δράστες κατάφεραν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στο δίκτυο της DriveWealth.

Δείτε επίσης: Δεδομένα Revοlut: 680 πελάτες στο στόχαστρο μετά τη διαρροή

Το στοιχείο αυτό έχει ιδιαίτερη σημασία, καθώς δεν παραπέμπει απαραίτητα σε μια κλασική επίθεση που βασίζεται στην εκμετάλλευση μιας τεχνικής ευπάθειας. Αντίθετα, το social engineering στοχεύει ανθρώπους, διαδικασίες και μηχανισμούς εμπιστοσύνης, με τους επιτιθέμενους να προσπαθούν να πείσουν εργαζομένους να παρακάμψουν, συνειδητά ή όχι, δικλίδες ασφαλείας.

Η DriveWealth αναφέρει ότι η πρόσβαση αφορούσε παλαιότερα προσωπικά δεδομένα που διατηρούνταν στα συστήματά της. Τα στοιχεία αυτά μπορεί να παρέμεναν αποθηκευμένα για λόγους συμμόρφωσης με νομικές και κανονιστικές απαιτήσεις.

Ποια δεδομένα εκτέθηκαν

Το εύρος των πληροφοριών που ενδέχεται να επηρεάστηκαν ποικίλλει ανάλογα με τον πελάτη. Μεταξύ των δεδομένων περιλαμβάνονται ονοματεπώνυμο, διεύθυνση email, αριθμός τηλεφώνου και ταχυδρομική διεύθυνση, καθώς και στοιχεία που σχετίζονται με το επενδυτικό προφίλ.

Σε ορισμένες περιπτώσεις, τα δεδομένα μπορεί να περιλαμβάνουν στοιχεία όπως χώρα υπηκοότητας, ηλικία, φύλο, στοιχεία απασχόλησης και τμήμα του αριθμού λογαριασμού στη DriveWealth. Για πελάτες άλλων συνεργαζόμενων επενδυτικών πλατφορμών, η εταιρεία έχει αναφέρει ότι ενδέχεται να εκτέθηκαν ακόμη και υπόλοιπα μετρητών ή συνολική αξία χαρτοφυλακίου.

Σημαντικό είναι ότι μέχρι στιγμής δεν υπάρχουν ενδείξεις πως εκτέθηκαν κωδικοί πρόσβασης ή στοιχεία πληρωμών, όπως αριθμοί καρτών και τραπεζικών λογαριασμών. Παράλληλα, η DriveWealth έχει αναφέρει ότι δεν εντοπίστηκαν μη εξουσιοδοτημένες συναλλαγές, μεταφορές ή αναλήψεις.

Γιατί επηρεάζονται πελάτες της Revolut

Η σχέση μεταξύ των δύο εταιρειών εξηγεί γιατί ένα περιστατικό στη DriveWealth αφορά και χρήστες της Revοlut. Για συγκεκριμένες υπηρεσίες συναλλαγών σε αμερικανικές μετοχές, οι πελάτες είχαν συμβατική σχέση τόσο με τη Revοlut όσο και με τη DriveWealth.

Η Revοlut έχει αλλάξει από τότε τη συγκεκριμένη δομή για πελάτες σε ορισμένες περιοχές, όμως η DriveWealth διατηρούσε παλαιότερα δεδομένα για όσο διάστημα απαιτούνταν από τις σχετικές κανονιστικές υποχρεώσεις. Αυτό σημαίνει ότι η έκθεση αφορά ιστορικά δεδομένα και όχι κατ’ ανάγκη την τρέχουσα κατάσταση ενός λογαριασμού.

Η Revοlut έχει επίσης διευκρινίσει ότι οι πληροφορίες του συγκεκριμένου περιστατικού από μόνες τους δεν επαρκούν για να αποκτήσει κάποιος πρόσβαση στον λογαριασμό ενός χρήστη και ότι δεν έχει εντοπιστεί μη εξουσιοδοτημένη δραστηριότητα στους λογαριασμούς των πελατών που ενημερώθηκαν.

Δείτε επίσης: Revοlut: Πλαστά κυβερνητικά αιτήματα οδήγησαν σε διαρροή δεδομένων πελατών

Ο κίνδυνος phishing μετά τη διαρροή

Ένα από τα σημαντικότερα ζητήματα μετά από μια τέτοια παραβίαση είναι η πιθανή αξιοποίηση των δεδομένων για στοχευμένες απάτες. Όσο περισσότερες πληροφορίες διαθέτει ένας απατεώνας για ένα θύμα, τόσο ευκολότερο μπορεί να γίνει ένα πειστικό phishing email, ένα SMS ή ακόμη και μια τηλεφωνική κλήση.

Η χρονική συγκυρία είναι επίσης αξιοσημείωτη, καθώς η Revοlut αντιμετώπισε νωρίτερα τον Σεπτέμβριο διαφορετικό περιστατικό κοινωνικής μηχανικής, κατά το οποίο απατεώνες χρησιμοποίησαν πλαστά κυβερνητικά αιτήματα για να αποκτήσουν ευαίσθητες πληροφορίες πελατών. Η εταιρεία επιβεβαίωσε τότε ότι δεν παραβιάστηκαν τα εσωτερικά της συστήματα.

Για τους χρήστες που ενημερώθηκαν για το περιστατικό DriveWealth, η αυξημένη προσοχή σε ύποπτα μηνύματα είναι επομένως ιδιαίτερα σημαντική. Κανένας εκπρόσωπος της Revοlut ή της DriveWealth δεν θα πρέπει να ζητήσει κωδικούς πρόσβασης, passcodes ή μεταφορά χρημάτων σε άλλο λογαριασμό.

Δεν επηρεάστηκε μόνο η Revolut

Η DriveWealth παρέχει υποδομές και υπηρεσίες και σε άλλες επενδυτικές πλατφόρμες. Μεταξύ των εταιρειών που έχουν ενημερώσει πελάτες τους για το περιστατικό περιλαμβάνονται η αυστραλιανή Stake και η νεοζηλανδική Hatch. Η Hatch, για παράδειγμα, ανέφερε ότι τα δικά της συστήματα δεν παραβιάστηκαν, ενώ δεδομένα πελατών που τηρούνταν στη DriveWealth ενδέχεται να επηρεάστηκαν.

Δείτε επίσης: Revοlut: Η αξία της ενισχύθηκε από την Schroders

Η εξέλιξη αυτή αναδεικνύει έναν ευρύτερο κίνδυνο για τις fintech επιχειρήσεις: ακόμη και όταν τα βασικά συστήματα μιας εταιρείας παραμένουν ασφαλή, ένας τρίτος συνεργάτης ή πάροχος μπορεί να αποτελεί ξεχωριστό σημείο έκθεσης.

Τι σημαίνει για τους πελάτες

Μέχρι στιγμής, το περιστατικό δεν συνδέεται με μη εξουσιοδοτημένες συναλλαγές στους επηρεαζόμενους λογαριασμούς. Ωστόσο, η έκθεση προσωπικών και επενδυτικών πληροφοριών μπορεί να δημιουργήσει μακροπρόθεσμο κίνδυνο για phishing, impersonation και στοχευμένες οικονομικές απάτες.

Οι χρήστες που έλαβαν σχετική ειδοποίηση θα πρέπει να αντιμετωπίζουν με ιδιαίτερη επιφύλαξη οποιοδήποτε μήνυμα επικαλείται τη Revοlut ή τη DriveWealth και ζητά επιβεβαίωση στοιχείων, κωδικούς ή μεταφορά χρημάτων. Παράλληλα, η υπόθεση υπενθυμίζει ότι η ασφάλεια μιας χρηματοοικονομικής υπηρεσίας δεν εξαρτάται μόνο από την προστασία της κύριας εφαρμογής, αλλά από ολόκληρη την αλυσίδα συνεργατών και παρόχων που διαχειρίζονται δεδομένα πελατών.