Revolut a confirmat un incident de securitate neobișnuit, iar breșa de securitate Revolut a devenit relevantă și pentru utilizatorii din România în urma căruia informații confidențiale despre unii clienți au ajuns la o persoană neautorizată. Nu a fost vorba, potrivit companiei, despre spargerea aplicației sau compromiterea infrastructurii Revolut. Atacatorul a folosit o adresă de e-mail de pe domeniul legitim al unei agenții guvernamentale pentru a trimite solicitări false de informații, iar unele dintre acestea au fost tratate drept cereri autentice.

Cazul este relevant și pentru România. Conform informațiilor transmise de Revolut publicației Profit.ro, investigația companiei a identificat aproximativ 680 de clienți afectați la nivel global, dintre care 27 din România. Revolut spune că persoanele identificate au fost contactate direct.

Incidentul arată și o formă de atac informatic mai puțin intuitivă: sistemele unei companii pot rămâne intacte, dar informațiile pot fi obținute prin exploatarea procedurilor și a încrederii acordate unor canale considerate oficiale.

Ce s-a întâmplat în breșa de securitate Revolut

Revolut a confirmat în septembrie 2026 că o terță parte neautorizată a trimis solicitări frauduloase pentru informații despre clienți. Elementul care a făcut atacul convingător a fost proveniența mesajelor: acestea au fost trimise folosind o adresă de e-mail de pe domeniul legitim al unei agenții guvernamentale.

În mod normal, instituțiile publice și autoritățile pot solicita unei instituții financiare anumite informații în cadrul unor proceduri legale. Companiile trebuie să dispună de mecanisme prin care asemenea solicitări sunt verificate și procesate.

În acest caz, atacatorul a exploatat tocmai încrederea asociată unui canal oficial. Revolut a descris incidentul drept o schemă sofisticată de impersonare externă.

A fost spart Revolut?

Este importantă această distincție deoarece formularea „Revolut a fost spart” poate crea o impresie greșită despre incident.

Conform declarațiilor companiei, sistemele Revolut nu au fost compromise. Atacatorul nu ar fi pătruns în infrastructura informatică a companiei pentru a extrage direct informații din bazele sale de date.

Datele au fost divulgate deoarece solicitările frauduloase au părut să provină de la o instituție legitimă și au fost procesate ca atare.

Revolut a precizat de asemenea că fondurile clienților nu au fost afectate de incident.

Câți clienți Revolut au fost afectați

Primele declarații publice ale companiei vorbeau despre un grup limitat de clienți fără să ofere un număr exact.

Ulterior, Revolut a transmis pentru Profit.ro că, pe baza investigației adreselor de e-mail compromise, a identificat un grup de aproximativ 680 de clienți afectați.

Cifra trebuie pusă în context: ea reprezintă clienții identificați de companie în investigația incidentului și nu trebuie interpretată ca numărul total de utilizatori Revolut ale căror conturi ar fi fost compromise. Compania afirmă că sistemele și fondurile clienților nu au fost afectate.

Câți clienți din România sunt afectați

Potrivit informațiilor comunicate de Revolut publicației Profit.ro pe 15 septembrie 2026, dintre cei aproximativ 680 de clienți identificați, 27 sunt din România.

Compania spune că a contactat direct persoanele afectate și că le oferă asistență prin canalele sale obișnuite.

Asta înseamnă și că un utilizator Revolut din România nu ar trebui să presupună automat că datele sale fac parte din incident doar pentru că folosește serviciul. Numărul confirmat pentru România este foarte mic în raport cu baza totală de utilizatori.

Ce date ar fi putut ajunge la atacatori

Informațiile expuse diferă de la un client la altul. Potrivit notificărilor trimise persoanelor afectate și relatărilor publicațiilor care le-au analizat, datele pot include informații de identificare și contact.

Printre acestea se pot afla numele, data nașterii, adresa poștală, adresa de e-mail și numărul de telefon.

În unele cazuri au fost incluse și copii ale documentelor folosite pentru verificarea identității, precum pașaportul sau permisul de conducere, precum și fotografii utilizate în procesul de verificare.

Notificările analizate de presa internațională indică faptul că pentru unii utilizatori ar fi putut fi divulgate și informații despre conturi, extrase sau istoricul tranzacțiilor.

Au fost furate parolele Revolut?

Informațiile publice disponibile despre incident nu indică furtul bazei de date cu parole a Revolut și nici compromiterea sistemelor de autentificare ale companiei.

Acesta este un aspect diferit de expunerea datelor personale. O persoană poate avea date de identitate divulgate fără ca atacatorul să îi cunoască parola contului.

Totuși, datele personale detaliate pot fi valoroase pentru tentative ulterioare de fraudă, deoarece permit construirea unor mesaje de phishing mult mai credibile.

Sunt banii clienților în pericol?

Revolut afirmă explicit că fondurile clienților nu au fost afectate.

Incidentul cunoscut în acest moment privește divulgarea unor informații către o terță parte neautorizată, nu transferarea banilor din conturile utilizatorilor.

Asta nu face însă datele expuse lipsite de importanță. Informațiile de identitate, adresele și istoricul financiar pot crește riscul unor tentative de fraudă îndreptate ulterior împotriva persoanelor vizate.

Cum a fost posibil atacul fără spargerea sistemelor Revolut

Atacul este un exemplu bun al diferenței dintre securitatea strict tehnică și securitatea întregului proces prin care circulă informația.

O companie poate avea servere bine protejate, autentificare multifactor și sisteme sofisticate de monitorizare, dar trebuie în același timp să răspundă solicitărilor legitime venite din partea autorităților.

Dacă un atacator reușește să controleze sau să folosească în mod fraudulos un canal în care destinatarul are încredere, el poate încerca să convingă personalul unei companii că o solicitare falsă este autentică.

În securitatea informatică, asemenea atacuri exploatează relațiile de încredere și procedurile, nu neapărat vulnerabilități software.

De ce un domeniu guvernamental face atacul mai credibil

Un mesaj primit de pe un domeniu oficial este mult mai greu de identificat drept fraudulos decât un e-mail trimis de pe o adresă evident falsă.

Într-un atac simplu de phishing, destinatarul poate observa că numele domeniului este scris greșit sau că expeditorul folosește un serviciu gratuit de e-mail.

În incidentul Revolut, compania spune că solicitările frauduloase au venit folosind un domeniu legitim al unei agenții guvernamentale. Tocmai această caracteristică a oferit cererilor o aparență de autenticitate.

Financial Times a relatat ulterior că atacatorii susțin că au exploatat accesul la sistemul italian de e-mail certificat PEC. Investigațiile continuă, iar detaliile tehnice și responsabilitatea exactă pentru compromiterea canalului trebuie separate de ceea ce Revolut a confirmat oficial.

Ce a făcut Revolut după descoperirea incidentului

Revolut spune că a blocat adresa folosită pentru solicitările frauduloase după identificarea problemei.

Compania a informat agenția guvernamentală relevantă, autoritățile de aplicare a legii și organismele competente pentru protecția datelor și reglementarea financiară.

De asemenea, persoanele identificate ca fiind afectate au fost contactate direct.

Revolut afirmă că a introdus măsuri suplimentare pentru a împiedica repetarea unui asemenea incident.

Ce ar trebui să facă un client Revolut din România

Dacă nu ai primit o notificare oficială din partea Revolut, informațiile disponibile în acest moment nu indică faptul că trebuie să presupui că datele tale se află printre cele expuse.

Totuși, incidentul este un motiv bun pentru a acorda mai multă atenție mesajelor care pretind că vin de la Revolut, de la o bancă sau de la o instituție publică.

Un atacator care deține informații reale despre o persoană poate crea un mesaj foarte convingător. De exemplu, poate include numele complet, adresa sau alte detalii pentru a crea impresia că mesajul provine într-adevăr de la instituția financiară.

Nu comunica parola, codurile de autentificare sau codurile primite prin SMS unei persoane care te contactează. O solicitare suspectă trebuie verificată separat, folosind aplicația oficială și canalele de suport cunoscute, nu linkurile sau numerele de telefon primite în mesaj.

Cum verifici dacă ai fost afectat

Cea mai relevantă informație este notificarea directă de la Revolut. Compania afirmă că a contactat clienții pe care i-a identificat drept afectați.

Dacă primești un mesaj despre incident și ai dubii privind autenticitatea lui, nu folosi linkurile incluse în mesaj pentru autentificare. Deschide separat aplicația Revolut și contactează suportul prin canalul disponibil în aplicație.

Este important să nu apară un efect secundar ironic al incidentului: escroci care profită de știrea reală pentru a trimite notificări false de tip „datele tale au fost compromise”, încercând apoi să obțină parole sau coduri de securitate.

Trebuie schimbată parola?

Din informațiile confirmate public nu rezultă că parolele Revolut au fost extrase din sistemele companiei.

Schimbarea parolei sau a codului de acces poate fi o măsură suplimentară de precauție dacă utilizatorul suspectează o problemă cu propriul cont, dar nu rezolvă problema divulgării unor date precum numele, adresa sau copia unui document de identitate.

Mai importantă este atenția acordată tentativelor ulterioare de phishing și verificarea activității contului.

De ce datele KYC sunt sensibile

Instituțiile financiare sunt obligate să își verifice clienții. Procesul este cunoscut sub abrevierea KYC, de la „Know Your Customer”.

Pentru această verificare sunt colectate informații care pot include documente de identitate, fotografii, adrese și alte date personale.

Aceste informații sunt mai sensibile decât o simplă adresă de e-mail deoarece unele dintre ele nu pot fi schimbate ușor. Poți modifica o parolă în câteva secunde, dar nu îți poți schimba data nașterii sau istoricul personal.

Din acest motiv, protejarea datelor KYC reprezintă o componentă importantă a securității unei instituții financiare.

De ce incidentul Revolut este neobișnuit

Multe breșe de date pornesc de la o vulnerabilitate software, o parolă compromisă, malware sau acces neautorizat la un server.

Aici mecanismul este diferit. Informația a fost furnizată ca răspuns la ceea ce părea a fi o solicitare legitimă venită din partea unei autorități.

Incidentul arată că verificarea identității solicitantului este la fel de importantă ca protejarea bazei de date în care se află informația.

Un domeniu de e-mail legitim poate confirma originea tehnică a mesajului, dar nu garantează automat că persoana care îl folosește este autorizată să solicite anumite date.

Ce știm sigur și ce nu știm încă

Este confirmat de Revolut că o terță parte neautorizată a utilizat un domeniu legitim al unei agenții guvernamentale pentru solicitări frauduloase de informații.

Compania confirmă că unele informații despre clienți au fost divulgate și că sistemele Revolut și fondurile clienților nu au fost afectate.

Pentru România, informațiile transmise companiei către Profit.ro indică 27 de clienți afectați dintr-un grup de aproximativ 680 identificați la nivel global.

Nu toate detaliile investigației sunt însă publice. Revolut nu a făcut publică inițial identitatea agenției implicate, iar investigațiile autorităților pot aduce informații suplimentare despre modul în care canalul oficial a ajuns să fie utilizat de atacator.

Concluzie

Breșa de securitate Revolut nu este, pe baza informațiilor confirmate până acum, o spargere a infrastructurii băncii. Este un caz în care un atacator a reușit să exploateze încrederea acordată unor solicitări aparent oficiale și să obțină informații confidențiale despre clienți.

Revolut spune că sistemele și fondurile utilizatorilor nu au fost afectate. Investigația companiei a identificat aproximativ 680 de persoane ale căror date au fost divulgate, dintre care 27 din România, potrivit informațiilor transmise către Profit.ro.

Pentru ceilalți utilizatori, principalul risc practic este apariția unor tentative de phishing care exploatează notorietatea incidentului. Mesajele privind securitatea contului trebuie verificate direct în aplicația oficială, iar parolele și codurile de autentificare nu trebuie comunicate unei persoane care contactează utilizatorul.

Credit imagine: Alerove / Wikimedia Commons — CC0 1.0.

Surse și documentare