Kebocoran Data Revolut: Apa yang Sudah Dikonfirmasi, Klaim Tebusan US$3 Juta, dan Hal yang Belum Terverifikasi

Revolut telah mengonfirmasi bahwa informasi sensitif pelanggan diungkapkan kepada pihak ketiga yang tidak berwenang setelah perusahaan menerima permintaan palsu yang dikirim dari domain email lembaga pemerintah yang sah. Perusahaan menggambarkan kejadian ini sebagai penipuan penyamaran eksternal atau social engineering, bukan peretasan terkonfirmasi atas sistem inti mereka. 12

Kasus ini juga memicu klaim tebusan terbuka dari kelompok yang memakai nama “iamnotavillain”. Namun, ada catatan penting: Revolut mengatakan kepada Reuters bahwa mereka tidak menerima kontak langsung maupun tuntutan tebusan dari pihak yang mengaku bertanggung jawab. 2

Apa yang telah dikonfirmasi Revolut?

Menurut pernyataan Revolut yang dilaporkan Reuters, pelaku menggunakan domain email lembaga pemerintah yang sah untuk mengirim permintaan informasi pelanggan yang menyesatkan. Revolut kemudian menyerahkan informasi sensitif kepada pihak ketiga yang tidak berwenang sebelum menyadari bahwa permintaan tersebut palsu. 1

Revolut menyatakan pelanggan terdampak telah diberi tahu dan pada awalnya menyebut jumlahnya “sangat terbatas”. Reuters kemudian melaporkan bahwa insiden itu dipahami melibatkan sekitar 680 pelanggan, meski angka tersebut tidak diungkapkan Revolut dalam pernyataan publik awalnya. 12

Pemberitahuan kepada pelanggan terdampak yang dilaporkan media menunjukkan data yang terekspos dapat mencakup data identitas dan kontak, seperti tanggal lahir, alamat, nomor telepon, serta salinan dokumen identitas. TechCrunch melaporkan data itu juga mungkin mencakup swafoto verifikasi, rekening koran, dan materi lain yang terkait dengan akun. 5

Apakah infrastruktur Revolut diretas?

Berdasarkan penjelasan Revolut dan pelaporan dari sumber yang mengetahui perkara ini, infrastruktur inti, basis data, serta akun pelanggan Revolut tidak diretas. Revolut juga menyatakan sistem dan dana pelanggan tidak terdampak. 12

Perbedaan ini penting. Kejadian yang dikonfirmasi adalah pengungkapan data yang dipicu oleh permintaan palsu, bukan intrusi teknis yang telah dikonfirmasi terhadap sistem akun atau basis data Revolut. Pelaporan yang tersedia belum secara independen membuktikan seluruh rincian teknis insiden ini, sehingga cakupannya tidak seharusnya dibesar-besarkan. 12

Klaim tuntutan US$3 juta

Financial Times melaporkan, menurut Reuters, pihak yang mengaku bertanggung jawab mengancam akan menjual catatan rahasia milik ratusan pelanggan Revolut kepada kelompok kriminal lain apabila perusahaan tidak membayar tebusan US$3 juta dalam 24 jam. 2

Laporan lain menyebut pembayaran yang diminta sebesar 6.000 Monero (XMR), bernilai kira-kira US$3 juta pada saat itu, serta mengidentifikasi pelaku yang diklaim sebagai “iamnotavillain”. Kelompok tersebut dilaporkan mengunggah ultimatum daring dengan penghitung waktu mundur dan menyatakan bahwa belum ada negosiasi. 46

Rincian ini merupakan klaim dari, atau yang dikaitkan dengan, pihak yang diduga menyerang. Klaim tersebut tidak membuktikan bahwa identitas kelompok itu asli, bahwa mereka memiliki seluruh catatan yang mereka klaim, atau bahwa mereka mampu menjalankan ancaman penjualan data tersebut. Pernyataan Revolut bahwa perusahaan tidak menerima tuntutan langsung menambah ketidakpastian mengenai status ultimatum yang dipublikasikan itu. 26

Yang diketahui dan yang masih belum terverifikasi

Didukung pernyataan Revolut dan pelaporan media besar

• Permintaan palsu yang dikirim dari domain email lembaga pemerintah yang sah menyebabkan pengungkapan informasi pelanggan sensitif kepada pihak tak berwenang. 1
• Revolut menyatakan sistem dan dana pelanggannya tidak terdampak. 1
• Reuters melaporkan Revolut tidak menerima kontak langsung atau tuntutan tebusan dari pihak yang diduga menjadi pelaku. 2
• Pelaporan menempatkan jumlah pelanggan terdampak di sekitar 680 orang. 24

Masih belum terverifikasi atau bergantung pada klaim pelaku

• Apakah “iamnotavillain” benar pihak atau kelompok yang berada di balik pengungkapan data tersebut. 26
• Apakah kelompok itu memegang seluruh kumpulan data yang mereka klaim miliki. 26
• Apakah ada data yang telah dijual, dibagikan, atau digunakan oleh kelompok kriminal lain. 2
• Rangkaian teknis dan operasional lengkap yang membuat permintaan palsu itu tampak meyakinkan. 12

Kesimpulan

Bukti yang tersedia mendukung kesimpulan yang lebih terbatas, tetapi tetap serius: Revolut mengungkapkan data sensitif pelanggan setelah terkecoh oleh permintaan palsu yang seolah-olah berasal dari domain email pemerintah yang sah. Revolut membantah bahwa infrastruktur inti atau akun pelanggan mereka dibobol. 12

Tuntutan Monero senilai US$3 juta, tenggat 24 jam, penghitung waktu mundur, dan atribusi kepada “iamnotavillain” memang telah dilaporkan secara publik, tetapi semuanya masih berupa tuduhan yang terkait dengan pihak yang mengaku sebagai pelaku. Sampai klaim tersebut mendapat konfirmasi independen, klaim itu perlu dipisahkan dari pengungkapan data yang telah dikonfirmasi Revolut. 26