Коротко: 16–17 сентября 2026 года хакерская группа iamnotavillain потребовала от Revolut выкуп в 6 000 XMR (около $3 млн) под угрозой продать личные данные ~680 европейских клиентов. Паспорта, водительские права и фотографии этих клиентов хакеры получили, взломав почту итальянского государственного ведомства и выдав себя за полицию. Средства клиентов не тронуты, сам Revolut в контакт с вымогателями не вступал. Это очередной пример атаки через цепочку доверия — когда злоумышленник бьёт не по основной цели, а по третьей стороне, которой та вынуждена доверять.
Что произошло
16–17 сентября 2026 года группа iamnotavillain опубликовала на своём даркнет-сайте публичный ультиматум: если Revolut не переведёт 6 000 Monero (XMR) — около $2,9 млн по курсу на момент требования — в течение 24 часов, злоумышленники продадут данные клиентов другим преступным организациям. Вместе с ультиматумом они запустили на том же сайте таймер обратного отсчёта. Публичное давление вместо тайных переговоров — нетипичная, но намеренно устрашающая тактика: обычно вымогатели сначала выходят на жертву в частном порядке.
Revolut заявил, что не получал никаких прямых контактов или требований от этой группы, его системы не взломаны, а средства клиентов остаются нетронутыми. Компания уведомила правоохранительные органы и регуляторов, включая Банк Литвы, где зарегистрирован её офис.
Как хакеры добрались до данных, не взламывая Revolut
Самое примечательное в этом деле — прямого взлома инфраструктуры Revolut, по всей видимости, не было. По данным итальянских следователей, злоумышленники скомпрометировали институциональный почтовый адрес итальянского государственного ведомства — предположительно, структур власти Реджо-Калабрии. Выдавая себя за сотрудников правоохранительных органов, они направляли Revolut официальные запросы на раскрытие данных о конкретных клиентах.
Это работало на протяжении нескольких месяцев: запросы выглядели как законные полицейские обращения. В итоге хакеры собрали KYC-документы около 680 человек — паспорта, водительские удостоверения, удостоверения личности и верификационные фотографии. По их собственным заявлениям, объём похищенного составляет 147 гигабайт. Целью намеренно выбирались «криптокиты» — клиенты с крупными позициями в криптовалюте, что говорит о тщательной разведке ещё до первого запроса.
Почему это важно для каждого пользователя финтех-сервисов
Кейс Revolut иллюстрирует угрозу, против которой трудно защититься в одиночку, — атаку через цепочку доверия (trust-chain attack). Злоумышленники не ломали Revolut напрямую: они взломали государственное ведомство, которому финтех-компания обязана была доверять по закону. Аналогичная схема стоит за многими крупными утечками последних лет: атакующий проникает не к основной цели, а к третьей стороне с легитимным доступом к чужим данным.
Для обычного пользователя это означает: даже если сервис, которому вы доверяете, не взломан напрямую, ваши данные могут оказаться у злоумышленников через цепочку официально выглядящих запросов. Особенно уязвимы KYC-документы: их копии хранятся у всех регулируемых финансовых сервисов — банков, криптобирж, платёжных кошельков. О том, как компрометация одного контрагента может привести к цепной реакции, мы уже писали на примере утечки исходного кода Accenture 2026 года. Более широкую статистику по утечкам в России можно найти в нашем блоге о приватности.
Реакция регуляторов и ход следствия
Прокуратура Реджо-Калабрии возбудила расследование. К делу подключилась Национальная антимафийная и антитеррористическая прокуратура (ДНА) — что отражает оценку уровня серьёзности операции. Итальянский регулятор в сфере защиты данных (Garante) немедленно начал проверки безопасности в итальянских банках и связался с литовским регулятором, поскольку Revolut зарегистрирован в Литве.
Следователи пока не установили точно: была ли непосредственно взломана почта ведомства в Реджо-Калабрии, системы МВД Италии, или злоумышленники применили email-spoofing, клонировав официальные адреса. Любой из вариантов означает тщательную многомесячную подготовку, прежде чем первый запрос ушёл в Revolut.
Как защитить свои данные
Минимизируйте копии документов. Передавайте удостоверяющие документы только тем сервисам, которые обязаны их хранить по закону. Чем меньше мест, где лежит скан вашего паспорта, тем меньше точек возможной утечки.
Включите уведомления о действиях с аккаунтом. В Revolut и большинстве финтех-приложений есть push-уведомления о каждой операции. Настройте их и реагируйте на любой запрос, который вы не инициировали сами.
Используйте отдельный адрес email для финансовых сервисов. Это изолирует возможный фишинг: если злоумышленники знают только «финансовый» адрес, они не смогут автоматически скомпрометировать остальные аккаунты.
Защитите соединение, особенно в чувствительных операциях. Атака на Revolut велась через компрометацию государственной почты, а не через перехват трафика — но сетевые риски для рядового пользователя никуда не делись. Открывая банковские и крипто-приложения в публичном Wi-Fi, используйте зашифрованный туннель: LiMP VPN не позволяет никому в той же сети читать ваши сессии. Подробнее о тарифах — на странице подключения.