Peretas yang menyerang Revolut tidak lagi puas dengan pemerasan dan mulai membocorkan data pribadi pelanggan ke publik. Komunitas keamanan siber International Cyber Digest mengungkapkan melalui X pada 13 September bahwa peretas telah memublikasikan salinan dokumen identitas petenis Alexander Shevchenko dan CEO Gamdom Felix Römer. Peretas mengancam akan terus membocorkan data setiap hari.
Swafoto paspor CEO Gamdom dan petenis telah bocor
Komunitas keamanan siber International Cyber Digest mengungkapkan melalui platform X pada 13 September bahwa peretas yang menyerang Revolut telah resmi memasuki tahap kedua dan mulai memublikasikan swafoto paspor serta salinan dokumen identitas pelanggan. Korban yang telah dikonfirmasi datanya dipublikasikan mencakup petenis Alexander Shevchenko dan CEO kasino kripto online Gamdom (serta Skinscom), Felix Römer.
Peretas mengumumkan di Telegram bahwa mereka akan terus memublikasikan lebih banyak data setiap hari sampai Revolut “membayar agar masalah ini diselesaikan”, yang menandai eskalasi insiden dari pemerasan secara tertutup menjadi tekanan publik.
Revolut menjelaskan metode serangan: penipuan penyamaran yang memanfaatkan domain resmi pemerintah
Revolut menjelaskan kepada Cointelegraph pada Sabtu bahwa insiden ini bermula dari “penipuan penyamaran eksternal yang canggih” (sophisticated external impersonation scam). Peretas menggunakan domain resmi lembaga pemerintah yang sebenarnya untuk mengirim email penipuan, dengan memalsukan permintaan penyelidikan yang sah guna memperoleh data pengguna Revolut. Karena email tersebut berasal dari domain pemerintah yang sah, bukan domain mirip yang biasanya digunakan dalam email phishing, tim kepatuhan Revolut keliru menganggapnya sebagai permintaan penyelidikan pemerintah yang resmi dan memberikan data pelanggan terkait.
Hal ini berarti sistem email pemerintah terkait mungkin telah diretas atau diambil alih, sehingga dampak insiden ini melampaui insiden keamanan siber perusahaan biasa. Revolut menyatakan bahwa yang terdampak adalah “sejumlah terbatas” pelanggan, sementara sistem perusahaan dan dana pelanggan tidak terdampak.
Enam jenis data pribadi yang bocor dan diberitahukan Revolut kepada pengguna terdampak
Revolut menjelaskan kepada pengguna terdampak pada Jumat bahwa data yang bocor mencakup enam kategori berikut:
· Nama lengkap, tanggal lahir, pekerjaan
· Informasi kontak: email, nomor telepon, alamat
· Detail akun dan catatan transaksi lengkap
· Catatan transaksi Bitcoin (jumlah serta waktu pembelian dan penjualan)
· Swafoto verifikasi identitas (facial-verification selfies)
· Salinan dokumen identitas: paspor, SIM, dan lainnya
Hal ini berarti peretas tidak hanya memiliki informasi identitas dasar, tetapi juga gambaran menyeluruh mengenai aktivitas keuangan pelanggan di Revolut, mulai dari pengeluaran sehari-hari hingga pembelian dan penjualan mata uang kripto. Swafoto verifikasi identitas yang digabungkan dengan data pribadi lengkap menimbulkan risiko pencurian identitas yang sangat tinggi.
Mengapa kebocoran catatan transaksi Bitcoin menimbulkan risiko khusus bagi komunitas mata uang kripto
Revolut saat ini merupakan salah satu dari sedikit bank digital yang mengintegrasikan akun fiat dan transaksi mata uang kripto dalam satu aplikasi. Catatan transaksi Bitcoin, jumlah kepemilikan, serta waktu pembelian dan penjualan pengguna di Revolut seluruhnya bocor, yang berarti peretas dapat mengetahui gambaran lengkap alokasi aset kripto pelanggan.
Patut diperhatikan bahwa korban kali ini mencakup CEO Gamdom Felix Römer. Hal ini menunjukkan bahwa peretas mungkin sengaja menargetkan tokoh-tokoh industri mata uang kripto untuk melakukan kebocoran secara terarah demi memperkuat posisi tawar. Bagi pengguna yang memakai Revolut untuk bertransaksi mata uang kripto, catatan transaksi BTC, jumlah, serta waktu pembelian dan penjualan mereka kini berada di tangan peretas. Mereka disarankan untuk memantau laporan kredit dan aktivitas akun dengan cermat.
Tiga hal penting yang perlu diamati selanjutnya
Seiring peretas mengumumkan akan terus membocorkan data setiap hari, tiga hal penting berikut patut terus dipantau. Pertama, apakah Revolut akan menghubungi peretas atau membayar tebusan—strategi lembaga keuangan dalam menghadapi pemerasan akan menjadi fokus berikutnya. Kedua, lembaga pemerintah negara mana yang memiliki “domain resmi pemerintah” yang dimanfaatkan tersebut. Hal ini berkaitan dengan celah keamanan siber pemerintah negara itu dan dapat memicu penyelidikan lanjutan di tingkat diplomatik serta regulator.
Ketiga, apakah Financial Conduct Authority Inggris (FCA) atau regulator lain akan mendenda Revolut akibat insiden ini. Meskipun serangan bermula dari email pemerintah yang disamarkan, proses verifikasi Revolut saat menerima permintaan penyelidikan pemerintah tetap akan diperiksa untuk menentukan apakah proses tersebut sudah cukup ketat.
Pertanyaan umum
Jenis data apa saja yang bocor dalam insiden Revolut, dan tokoh terkenal mana yang terdampak?
Data yang bocor mencakup nama lengkap, tanggal lahir, informasi kontak, catatan transaksi lengkap, catatan transaksi Bitcoin, swafoto verifikasi identitas, serta salinan paspor/SIM. Tokoh terkenal yang telah dikonfirmasi terdampak sejauh ini meliputi petenis Alexander Shevchenko dan CEO Gamdom Felix Römer.
Bagaimana peretas memperoleh data pelanggan Revolut?
Berdasarkan penjelasan Revolut kepada Cointelegraph, peretas menggunakan domain resmi lembaga pemerintah yang sebenarnya untuk mengirim email penipuan yang disamarkan. Setelah tim kepatuhan Revolut keliru menganggapnya sebagai permintaan penyelidikan pemerintah yang resmi, mereka memberikan data pelanggan. Hal ini berarti sistem email pemerintah terkait mungkin telah diretas.
Apa ancaman yang disampaikan peretas setelah memublikasikan data, dan bagaimana sikap resmi Revolut?
Peretas mengumumkan di Telegram bahwa mereka akan terus memublikasikan lebih banyak data setiap hari sampai Revolut “membayar agar masalah ini diselesaikan”. Revolut menyatakan bahwa yang terdampak adalah “sejumlah terbatas” pelanggan, sementara sistem perusahaan dan dana pelanggan tidak terdampak, tetapi belum menyatakan sikap mengenai apakah akan menanggapi tuntutan peretas.
