Η νέα εξέλιξη στην υπόθεση διαρροής προσωπικών και οικονομικών στοιχείων – Η ομάδα «iamnotavillain» δημοσίευσε δημόσιο τελεσίγραφο, ενώ η Revolut δηλώνει ότι δεν έχει δεχθεί άμεση απαίτηση λύτρων
Η υπόθεση της έκθεσης δεδομένων πελατών της Revolut περνά σε νέο στάδιο. Λίγες ημέρες μετά την επιβεβαίωση του περιστατικού από τη βρετανική fintech, hackers που ισχυρίζονται ότι βρίσκονται πίσω από τη διαρροή δημοσίευσαν δημόσια απαίτηση λύτρων ύψους 3 εκατομμυρίων δολαρίων, απειλώντας να πουλήσουν τα δεδομένα σε άλλες εγκληματικές ομάδες.
Η εξέλιξη, που αποκαλύφθηκε από τους Financial Times στις 16 Σεπτεμβρίου 2026, προσθέτει μια νέα διάσταση στην υπόθεση: πέρα από την έκθεση ευαίσθητων πληροφοριών, η Revolut βρίσκεται πλέον αντιμέτωπη με μια δημόσια απειλή εκβιασμού. Η εταιρεία, ωστόσο, δηλώνει ότι δεν έχει λάβει άμεση επικοινωνία ή απαίτηση πληρωμής από τους φερόμενους δράστες.
Δημόσιο τελεσίγραφο για 3 εκατομμύρια δολάρια
Σύμφωνα με τους Financial Times, η ομάδα που χρησιμοποιεί το όνομα «iamnotavillain» δημοσίευσε στον ιστότοπό της απαίτηση προς τη Revolut για 6.000 Monero (XMR), αξίας περίπου 3 εκατομμυρίων δολαρίων.
Η απαίτηση συνοδευόταν από αντίστροφη μέτρηση 24 ωρών και απειλή ότι τα δεδομένα εκατοντάδων πελατών θα πωληθούν σε άλλες εγκληματικές ομάδες εάν η εταιρεία δεν καταβάλει τα λύτρα.
Η χρήση του Monero έχει ιδιαίτερο ενδιαφέρον. Πρόκειται για κρυπτονόμισμα που δίνει έμφαση στην προστασία της ιδιωτικότητας των συναλλαγών, χαρακτηριστικό που το έχει καταστήσει ελκυστικό σε ορισμένες παράνομες δραστηριότητες και απαιτήσεις λύτρων.
Οι Financial Times επισημαίνουν ότι η δημόσια δημοσιοποίηση της απαίτησης είναι ασυνήθιστη. Σε πολλές επιθέσεις ransomware και data extortion, οι δράστες επικοινωνούν ιδιωτικά με τον οργανισμό-στόχο, πριν προχωρήσουν σε δημόσιες απειλές ή διαρροές.
Στην περίπτωση της Revolut, η ομάδα φέρεται να χρησιμοποίησε για πρώτη φορά τον ιστότοπό της για να δημοσιοποιήσει την απαίτηση. Οι δράστες δήλωσαν επίσης ότι δεν είχαν προηγηθεί διαπραγματεύσεις με την εταιρεία.
Η Revolut δηλώνει ότι δεν έχει λάβει άμεση απαίτηση
Η αντίδραση της Revolut, όπως μεταδόθηκε από το Reuters στις 16 Σεπτεμβρίου, διαφοροποιεί σημαντικά την εικόνα.
Εκπρόσωπος της εταιρείας δήλωσε ότι η Revolut δεν έχει δεχθεί άμεση επικοινωνία ή απαίτηση λύτρων από τα άτομα ή την ομάδα που ισχυρίζονται ότι ευθύνονται για τη διαρροή.
Η δήλωση αυτή δεν ακυρώνει τη δημόσια απειλή που δημοσίευσαν οι hackers. Σημαίνει, όμως, ότι μέχρι τη συγκεκριμένη χρονική στιγμή δεν είχε υπάρξει άμεση επικοινωνία μεταξύ των φερόμενων δραστών και της Revolut για την καταβολή των χρημάτων.
Το Reuters μετέδωσε επίσης ότι, σύμφωνα με πηγή που γνωρίζει την υπόθεση, η βασική υποδομή της Revolut, οι βάσεις δεδομένων και οι λογαριασμοί των πελατών δεν παραβιάστηκαν.
Αυτό αποτελεί κρίσιμη διευκρίνιση: η υπόθεση δεν περιγράφεται ως απευθείας hacking της τραπεζικής υποδομής της Revolut, αλλά ως έκθεση δεδομένων που προέκυψε από απατηλά αιτήματα προς την εταιρεία.
Περίπου 680 πελάτες φέρεται να επηρεάστηκαν
Το Reuters αναφέρει ότι, σύμφωνα με πηγή που γνωρίζει το περιστατικό, η έκθεση δεδομένων εκτιμάται ότι αφορά περίπου 680 πελάτες.
Ο αριθμός αυτός είναι σημαντικός, επειδή δίνει μια πρώτη εικόνα για την έκταση της υπόθεσης. Ωστόσο, δεν αποτελεί επίσημη δημόσια ανακοίνωση της Revolut.
Η εταιρεία είχε αναφέρει από την αρχική επιβεβαίωση του περιστατικού ότι επηρεάστηκε περιορισμένος αριθμός πελατών, χωρίς να δώσει συγκεκριμένο αριθμό.
Η έκθεση αφορά, σύμφωνα με την προηγούμενη ειδοποίηση προς τους επηρεαζόμενους πελάτες, στοιχεία όπως:
- Ονοματεπώνυμο και ημερομηνία γέννησης.
- Ταχυδρομικές και ηλεκτρονικές διευθύνσεις.
- Αριθμούς τηλεφώνου.
- Αντίγραφα διαβατηρίων και αδειών οδήγησης.
- Selfies επαλήθευσης.
- Statements λογαριασμών.
- Ιστορικό συναλλαγών.
Ο ανεξάρτητος ερευνητής ZachXBT είχε αναφέρει επιπλέον στοιχεία, μεταξύ των οποίων IBANs, αναλήψεις, επαγγέλματα και ιστορικό συναλλαγών Bitcoin.
Η έκθεση αυτών των πληροφοριών δημιουργεί κινδύνους που ξεπερνούν την απλή απώλεια προσωπικών δεδομένων. Ο συνδυασμός ταυτότητας, διεύθυνσης κατοικίας, εγγράφων και οικονομικής δραστηριότητας μπορεί να αξιοποιηθεί σε στοχευμένες απάτες, phishing, social engineering και απόπειρες εκβιασμού.
Από την πλαστοπροσωπία στην εκβίαση
Η αρχική υπόθεση της Revolut είχε ως βασικό χαρακτηριστικό την κατάχρηση εμπιστοσύνης.
Οι δράστες φέρεται να χρησιμοποίησαν email σε πραγματικό κυβερνητικό domain, υποβάλλοντας απατηλά αιτήματα για στοιχεία πελατών. Η Revolut επιβεβαίωσε ότι διαβίβασε ευαίσθητες πληροφορίες σε μη εξουσιοδοτημένο τρίτο μέρος.
Το νέο στάδιο της υπόθεσης αφορά την αξιοποίηση αυτών των δεδομένων ως μέσο εκβιασμού.
Η ομάδα «iamnotavillain» υποστηρίζει ότι διαθέτει δεδομένα εκατοντάδων πελατών και απειλεί να τα πουλήσει σε άλλες εγκληματικές ομάδες. Με τον τρόπο αυτό, η διαρροή μετατρέπεται σε πιθανή υπόθεση data extortion.
Η διαφορά από μια κλασική επίθεση ransomware είναι ουσιαστική. Δεν υπάρχει μέχρι στιγμής αναφορά ότι οι δράστες κρυπτογράφησαν συστήματα της Revolut ή διέκοψαν τη λειτουργία της. Η πίεση ασκείται μέσω της απειλής δημοσιοποίησης ή πώλησης δεδομένων που φέρεται να έχουν ήδη αποκτηθεί.
Το κρίσιμο security lesson: Δεν παραβιάστηκε η υποδομή, αλλά η διαδικασία εμπιστοσύνης
Η υπόθεση αναδεικνύει ένα σημαντικό ζήτημα για τους οργανισμούς που διαχειρίζονται ευαίσθητα δεδομένα.
Η αρχική έκθεση δεν φαίνεται να προέκυψε από απευθείας επίθεση στη βάση δεδομένων της Revolut. Αντίθετα, η εταιρεία εξαπατήθηκε μέσω ενός αιτήματος που εμφανιζόταν ως προερχόμενο από νόμιμη κυβερνητική υπηρεσία.
Αυτό σημαίνει ότι οι διαδικασίες διαβίβασης δεδομένων αποτελούν από μόνες τους επιφάνεια επίθεσης.
Ένα email μπορεί να προέρχεται από πραγματικό domain και να διαθέτει έγκυρα στοιχεία αυθεντικοποίησης. Αυτό, όμως, δεν αποδεικνύει ότι:
- Ο αποστολέας είναι εξουσιοδοτημένος.
- Το αίτημα είναι νόμιμο.
- Η διαβίβαση των συγκεκριμένων δεδομένων είναι επιτρεπτή.
- Τα στοιχεία πρέπει να σταλούν στον συγκεκριμένο παραλήπτη.
Η τεχνική αυθεντικότητα και η επιχειρησιακή εξουσιοδότηση είναι δύο διαφορετικά ζητήματα.
Η υπόθεση Revolut αποτελεί χαρακτηριστικό παράδειγμα του κινδύνου που δημιουργείται όταν οι οργανισμοί βασίζονται υπερβολικά στην προέλευση ενός email, χωρίς ανεξάρτητη επαλήθευση του αιτήματος.
Τι σημαίνει για τους πελάτες της Revolut
Η Revolut έχει δηλώσει ότι τα συστήματα και τα χρήματα των πελατών δεν επηρεάστηκαν από το περιστατικό.
Ωστόσο, οι πελάτες που έχουν ενημερωθεί ότι επηρεάστηκαν από τη διαρροή θα πρέπει να είναι ιδιαίτερα προσεκτικοί απέναντι σε ύποπτες επικοινωνίες.
Ένα μήνυμα που περιλαμβάνει πραγματικά στοιχεία ταυτότητας, οικονομικές πληροφορίες ή αναφορά σε συγκεκριμένες συναλλαγές μπορεί να φαίνεται πολύ πιο αξιόπιστο από ένα γενικό phishing email.
Οι κίνδυνοι περιλαμβάνουν:
Στοχευμένο phishing: Μηνύματα που χρησιμοποιούν πραγματικά στοιχεία του θύματος για να δημιουργήσουν αίσθηση αυθεντικότητας.
Απόπειρες κλοπής λογαριασμών: Χρήση προσωπικών δεδομένων για να πειστεί το θύμα να αποκαλύψει κωδικούς, κωδικούς επαλήθευσης ή άλλα στοιχεία πρόσβασης.
Εκβιασμός και στοχοποίηση χρηστών κρυπτονομισμάτων: Η γνώση ότι κάποιος διαθέτει σημαντικά ψηφιακά περιουσιακά στοιχεία μπορεί να αυξήσει τον κίνδυνο στοχευμένων επιθέσεων.
Κλοπή ταυτότητας: Η αξιοποίηση αντιγράφων εγγράφων και στοιχείων επικοινωνίας σε νέες απόπειρες απάτης.
Η έκθεση δεδομένων δεν σημαίνει αυτόματα ότι οι δράστες μπορούν να μεταφέρουν χρήματα από λογαριασμούς. Δημιουργεί, όμως, ένα σημαντικό απόθεμα πληροφοριών για μελλοντικές επιθέσεις.
Τι γνωρίζουμε και τι παραμένει άγνωστο
Η νέα εξέλιξη προσθέτει σημαντικά στοιχεία, αλλά δεν απαντά σε όλα τα ερωτήματα.
Γνωρίζουμε:
- Η Revolut επιβεβαίωσε την αρχική έκθεση δεδομένων στις 12 Σεπτεμβρίου 2026.
- Οι φερόμενοι δράστες δημοσίευσαν απαίτηση 3 εκατ. δολαρίων στις 16 Σεπτεμβρίου.
- Η απαίτηση αφορούσε 6.000 Monero και προθεσμία 24 ωρών.
- Η ομάδα χρησιμοποίησε το όνομα «iamnotavillain».
- Το Reuters αναφέρει ότι περίπου 680 πελάτες ενδέχεται να επηρεάστηκαν.
- Η Revolut δήλωσε ότι δεν έχει δεχθεί άμεση απαίτηση λύτρων.
- Η βασική υποδομή και οι λογαριασμοί πελατών δεν φέρεται να παραβιάστηκαν.
Παραμένει άγνωστο:
- Αν η Revolut θα προχωρήσει σε διαπραγμάτευση ή πληρωμή.
- Αν η προθεσμία των 24 ωρών έχει οδηγήσει σε κάποια νέα ενέργεια.
- Αν οι δράστες έχουν ήδη πουλήσει ή δημοσιοποιήσει δεδομένα.
- Αν το σύνολο των δεδομένων που ισχυρίζονται ότι διαθέτουν είναι αυθεντικό.
- Αν υπάρχουν περισσότεροι επηρεαζόμενοι πελάτες από τον αριθμό που αναφέρεται.
- Ποια ακριβώς κυβερνητική υπηρεσία χρησιμοποιήθηκε στην αρχική απάτη.
- Αν έχει ταυτοποιηθεί ο δράστης ή η ομάδα από τις αρμόδιες αρχές.
Το επόμενο στάδιο της υπόθεσης
Η εξέλιξη της 16ης Σεπτεμβρίου δεν αποτελεί απλώς μια νέα απαίτηση λύτρων. Αναδεικνύει τον τρόπο με τον οποίο μια διαρροή δεδομένων μπορεί να εξελιχθεί σε υπόθεση εκβιασμού, ακόμη και όταν δεν έχει παραβιαστεί η βασική υποδομή ενός οργανισμού.
Για τις χρηματοπιστωτικές υπηρεσίες, το ζήτημα είναι ιδιαίτερα κρίσιμο. Τα δεδομένα KYC, οι ταυτότητες, οι διευθύνσεις, οι λογαριασμοί και το ιστορικό συναλλαγών αποτελούν υψηλής αξίας πληροφορίες.
Η προστασία τους δεν μπορεί να βασίζεται μόνο σε firewalls, κρυπτογράφηση και μηχανισμούς email authentication. Απαιτείται ολοκληρωμένη προσέγγιση που περιλαμβάνει:
- Ισχυρή ταυτοποίηση και εξουσιοδότηση των αιτημάτων.
- Ανεξάρτητη επιβεβαίωση της ταυτότητας του αιτούντος.
- Περιορισμό των δεδομένων που διαβιβάζονται.
- Καταγραφή και έλεγχο των διαδικασιών πρόσβασης.
- Συνεχή εκπαίδευση των ομάδων Legal, Compliance και Security.
- Σχέδιο αντιμετώπισης data extortion και ενημέρωσης των επηρεαζόμενων πελατών.
Συμπέρασμα
Η υπόθεση Revolut δείχνει ότι ένα περιστατικό κυβερνοασφάλειας μπορεί να εξελιχθεί πολύ πέρα από την αρχική διαρροή.
Αρχικά, η εταιρεία εξαπατήθηκε μέσω απατηλών κυβερνητικών αιτημάτων και διαβίβασε ευαίσθητα δεδομένα πελατών σε μη εξουσιοδοτημένο τρίτο μέρος. Στη συνέχεια, οι φερόμενοι δράστες χρησιμοποίησαν τα δεδομένα ως βάση για δημόσια απαίτηση λύτρων 3 εκατομμυρίων δολαρίων.
Η Revolut δηλώνει ότι δεν έχει δεχθεί άμεση απαίτηση και ότι η βασική της υποδομή δεν παραβιάστηκε.
Το περιστατικό, όμως, αναδεικνύει ένα κρίσιμο μάθημα: η ασφάλεια ενός οργανισμού δεν εξαρτάται μόνο από το αν τα συστήματά του παραμένουν απρόσβλητα, αλλά και από το αν οι διαδικασίες εμπιστοσύνης μπορούν να χρησιμοποιηθούν για την εξαγωγή δεδομένων.
Στην εποχή των σύνθετων επιθέσεων κοινωνικής μηχανικής και data extortion, η διαχείριση της ψηφιακής ταυτότητας, η επαλήθευση των αιτημάτων και η προστασία των ευαίσθητων δεδομένων πρέπει να αποτελούν βασικούς πυλώνες της στρατηγικής κυβερνοασφάλειας.
Πληροφορίες από:
- Financial Times – Reuters –TechCrunch –The Block – ZachXBT – Telegram
Σημείωση: Το άρθρο βασίζεται σε δημοσιεύματα και δημόσιες αναφορές διαθέσιμες έως τις 17 Σεπτεμβρίου 2026. Η Revolut δεν έχει επιβεβαιώσει δημόσια τον ακριβή αριθμό των επηρεαζόμενων πελατών, την αυθεντικότητα όλων των δεδομένων που ισχυρίζονται ότι διαθέτουν οι δράστες ή την έκβαση της δημόσιας απαίτησης λύτρων.