Kebocoran Data Revolut: Permintaan Pemerintah Palsu Ungkap Data Nasabah

Revolut menyatakan pihak tidak berwenang memperoleh informasi sensitif nasabah setelah perusahaan menanggapi permintaan palsu yang dikirim dari alamat email pada domain instansi pemerintah yang sah. Pengungkapan pada 12 September ini penting karena pelaku tampaknya tidak perlu membobol sistem inti Revolut: mereka mengeksploitasi kepercayaan terhadap jalur komunikasi yang terlihat resmi. Revolut mengatakan nasabah terdampak telah dihubungi, sementara dana nasabah dan sistem perusahaan tidak terpengaruh. 134

Apa yang sudah dikonfirmasi Revolut

Revolut mengonfirmasi bahwa permintaan informasi palsu datang dari alamat email di domain instansi pemerintah yang sah, yang berujung pada diserahkannya informasi nasabah kepada pihak ketiga tanpa wewenang. Perusahaan menyebutnya sebagai “penipuan impersonasi eksternal yang canggih”, memblokir alamat tersebut setelah terdeteksi, dan memberi tahu otoritas terkait. 13448

Pembedaan ini penting. Pemberitaan yang tersedia tidak membuktikan bahwa pelaku membobol infrastruktur perbankan inti Revolut atau mengakses dana nasabah. Yang terbukti adalah proses penanganan permintaan eksternal untuk data sensitif berhasil diperdaya. 134

Bagaimana penyamaran itu diduga berlangsung

Elemen yang telah dikonfirmasi memang terbatas, tetapi berdampak besar: permintaan itu memakai alamat pada domain pemerintah yang benar-benar ada. Domain pengirim yang secara teknis terlihat autentik dapat membuat permintaan palsu tampak sebagai prosedur rutin, terutama bagi tim yang menangani permintaan hukum atau aparat penegak hukum dengan cepat. 135

Sejumlah laporan berikutnya mengaitkan pengirim dengan infrastruktur email tersertifikasi PEC di Italia dan domain pec.interno.it milik Kementerian Dalam Negeri Italia. Namun, kaitan tersebut belum dikonfirmasi secara independen oleh Revolut maupun otoritas Italia dalam materi yang tersedia. Karena itu, informasi tersebut harus diperlakukan sebagai petunjuk yang dilaporkan, bukan rekonstruksi serangan yang sudah terbukti. 37

Pelajaran utamanya: keaslian domain email saja bukan bukti memadai bahwa permintaan data sangat sensitif itu sah. Permintaan semestinya diverifikasi secara terpisah melalui jalur kontak instansi yang sudah dikenal dan menjalani prosedur eskalasi sebelum data diserahkan.

Berapa orang yang terdampak?

Pada awalnya, Revolut mengatakan kebocoran tersebut hanya berdampak pada jumlah nasabah yang “sangat terbatas” dan tidak memublikasikan angka. 1

Laporan berikutnya memperkirakan totalnya sekitar 680 nasabah di seluruh dunia, termasuk 12 nasabah di Irlandia. Revolut tidak mengonfirmasi angka itu secara terbuka dalam pernyataan awalnya, sehingga angka tersebut perlu dipahami sebagai angka yang dilaporkan media, bukan angka yang diumumkan langsung oleh perusahaan. 33

Laporan juga memuat klaim pelaku bahwa operasi ini melibatkan akses ke sistem penegakan hukum Italia selama kira-kira enam bulan. Itu merupakan klaim yang belum diverifikasi dari pihak yang diduga sebagai pelaku, bukan temuan yang telah dikonfirmasi Revolut atau otoritas. 3637

Data apa yang mungkin terekspos?

Notifikasi kepada nasabah yang ditinjau TechCrunch menyebut data yang diserahkan mencakup informasi identitas dan kontak, seperti tanggal lahir, alamat surat-menyurat dan email, nomor telepon, serta salinan paspor atau surat izin mengemudi. Informasi itu juga mungkin mencakup swafoto verifikasi, rekening koran, dan riwayat transaksi. 35

Pemberitaan lain menyebut IBAN—nomor rekening bank internasional—catatan penarikan, serta aktivitas transaksi Bitcoin termasuk di antara materi yang diduga diperoleh. 510

Kombinasi ini sangat sensitif. Dokumen identitas dapat dipakai untuk peniruan identitas dan penipuan pemulihan akun, sedangkan informasi kontak serta keuangan dapat membuat upaya phishing tampak jauh lebih meyakinkan.

Mengapa data transaksi Bitcoin memperbesar risiko

Nama, alamat, dokumen identitas, dan swafoto verifikasi dapat menghubungkan seseorang dengan aktivitas keuangannya. Jika riwayat transaksi Bitcoin ikut terekspos, data tersebut berpotensi memudahkan pengaitan identitas dunia nyata yang telah terverifikasi dengan aktivitas di blockchain publik. 1035

Hal itu tidak berarti setiap dompet atau transaksi mendatang otomatis dapat dikaitkan kepada orang tersebut. Namun, gabungan datanya dapat meningkatkan peluang phishing yang ditargetkan, penipuan identitas, upaya pemaksaan, dan modus yang menyasar orang yang dianggap menyimpan aset kripto. Berbeda dari kata sandi, dokumen identitas dan catatan blockchain masa lalu tidak dapat begitu saja diganti setelah bocor.

Kebocoran data, nama individu, dan klaim tebusan

Pelaku dilaporkan mulai memublikasikan materi nasabah dan mengancam akan merilis data tambahan. Pemberitaan mengidentifikasi berkas yang disebut milik petenis Alexander Shevchenko dan Felix Römer, CEO Gamdom; Cointelegraph melaporkan bahwa Römer memberi komentar setelah datanya muncul dalam kebocoran. 2

Tuntutan yang diduga sebesar 10.000 BTC—dilaporkan setara sekitar US$780 juta pada saat itu—beredar dalam unggahan dan pemberitaan sekunder. Revolut tidak mengonfirmasi tuntutan tersebut, demikian pula aparat penegak hukum dalam materi yang dikutip. Maka, ini harus diperlakukan sebagai klaim pemerasan yang belum terverifikasi, bukan negosiasi tebusan yang telah terbukti. 1213

Yang perlu dilakukan nasabah terdampak

Nasabah yang menerima notifikasi sebaiknya menyimpan notifikasi tersebut dan mengikuti panduan resmi Revolut. Mereka juga perlu jauh lebih waspada terhadap pesan yang menyebut detail pribadi, mengaku berasal dari Revolut atau regulator, maupun menciptakan rasa mendesak terkait keamanan akun.

Langkah perlindungan yang berguna antara lain:

• Ganti kata sandi Revolut dan email bila kata sandi tersebut dipakai ulang di layanan lain, lalu aktifkan autentikasi multifaktor terkuat yang tersedia.
• Anggap panggilan, SMS, dan email yang tidak diminta sebagai mencurigakan, bahkan bila memuat data pribadi yang benar.
• Jangan pernah memberikan kode OTP, kode pemulihan, atau seed phrase kepada penelepon maupun pengirim pesan.
• Pantau rekening bank, kartu, dan akun bursa kripto untuk aktivitas tak dikenal, serta dokumentasikan setiap kontak yang mencurigakan.
• Jika dokumen identitas Anda terekspos, pertimbangkan risiko penipuan identitas jangka panjang; risikonya tidak otomatis berakhir hanya karena kartu diganti.

Di Inggris, Information Commissioner’s Office (ICO), regulator perlindungan data, menyarankan orang yang khawatir sebuah organisasi tidak menjaga datanya dengan aman untuk terlebih dahulu menghubungi organisasi tersebut. ICO juga menyediakan kanal bantuan publik untuk persoalan perlindungan data. 23

Pelajaran bagi perusahaan keuangan

Insiden ini menunjukkan bahwa permintaan sensitif dari pemerintah atau aparat penegak hukum memerlukan pengamanan yang lebih kuat daripada sekadar pemeriksaan domain pengirim. Langkah yang dapat diterapkan mencakup verifikasi ulang melalui nomor kontak resmi yang tepercaya, persetujuan dua pihak untuk pengungkapan data yang sangat sensitif, pembatasan data yang dibagikan, pencatatan permintaan yang dapat diaudit, serta prosedur jelas untuk mendeteksi rekayasa sosial yang mengatasnamakan otoritas.

Bagi nasabah, pesannya sederhana: alamat email yang tampak resmi adalah petunjuk untuk diperiksa, bukan bukti yang harus langsung dipercaya. Dalam kebocoran yang melibatkan identitas dan riwayat keuangan, penipuan lanjutan dapat lebih merugikan daripada pengungkapan data awalnya.

Hal yang masih belum diketahui

Bukti yang tersedia mendukung fakta bahwa Revolut menyerahkan data nasabah setelah menerima permintaan palsu dari domain pemerintah yang sah, dan bahwa sistem inti serta dana nasabah tidak terdampak, menurut perusahaan. 1

Sejumlah detail masih belum terselesaikan dalam pemberitaan yang tersedia: peran tepat infrastruktur PEC, dugaan rentang waktu enam bulan, jumlah total nasabah terdampak, klaim akses pelaku ke sistem Italia, serta status tindakan penegakan oleh regulator Inggris. Klaim-klaim itu tidak boleh disajikan sebagai fakta yang sudah pasti tanpa konfirmasi resmi. 133637