Revolut vydal údaje klientů útočníkovi, který psal z domény skutečného úřadu

Banky dostávají úřední žádosti o údaje klientů běžně – vyšetřovatelé, daňová správa, dohledové orgány. Právě na téhle rutině postavil někdo útok na Revolut: poslal žádost z e-mailové adresy, která patřila do domény skutečného vládního úřadu, a banka mu data vydala. Firma to potvrdila serveru TechCrunch v sobotu 12. září.

Mluvčí Revolutu to všem serverům popsal shodně jako sofistikovaný vnější podvod se záměnou totožnosti a zdůraznil, že systémy ani peníze klientů zasažené nejsou. To je pravda a zároveň jádro problému: nic se nemuselo prolomit. Stačilo, že adresa odesílatele vypadala důvěryhodně.

Co odešlo ven

Oznámení, které Revolut rozeslal dotčeným klientům, vypisuje datum narození, poštovní a e-mailovou adresu, telefonní číslo a kopii dokladu totožnosti – pasu nebo řidičského průkazu. Dál v něm stojí, že předané údaje mohly obsahovat i ověřovací selfie, výpisy z účtu a historii transakcí.

Kryptoměnový vyšetřovatel vystupující jako ZachXBT, který oznámení zveřejnil, k tomu doplnil položky, jež banka sama nejmenovala: čísla IBAN, záznamy o výběrech, povolání a historii bitcoinových plateb. Podle něj šlo o zásah v malém rozsahu, ale mířený na majetné klienty.

Kolik lidí se to týká, Revolut neřekl. Mluví o „omezeném počtu“ a odkazuje na probíhající vyšetřování. Podle Financial Times, na který se odvolává Lupa.cz, firma kontaktovala zhruba 680 klientů. Neuvedla ani to, o kterou vládní instituci šlo.

Spor o to, co je biometrický údaj

Jedna věta z vyjádření pro Lupu stojí za rozbor. Revolut tvrdí, že „nebyly zpřístupněny ani dotčeny přístupové údaje, přihlašovací údaje, biometrická data ani finanční prostředky klientů“ – přitom v oznámení klientům sám připouští fotografie obličeje z ověřování totožnosti. Firma to vysvětluje tím, že zpřístupněna nebyla biometrická data odvozená z obličeje, tedy šablona, kterou systém k porovnání používá.

Rozdíl je technicky obhajitelný. Pro člověka, jehož selfie s pasem v ruce někde koluje, je ale hlavně formální: k otevření účtu jinde nebo k obejití ověření u jiné služby se hodí fotka stejně dobře jako matematický otisk.

Výkupné v bitcoinech

Lidé, kteří se k útoku hlásí, píšou do několika skupin na Telegramu. The Register uvádí, že v příspěvcích ukazují úryvky dat, která mají patřit ředitelům firem, profesionálním sportovcům a výkonným umělcům, a hrozí zveřejňováním dalších dávek, dokud Revolut nezaplatí. Požadují 10 000 bitcoinů, což je v přepočtu téhož serveru přes 782 milionů dolarů. Banka se k požadavku nevyjádřila.

Revolut po odhalení adresu zablokoval a podle svého vyjádření informoval dotčený úřad, orgány činné v trestním řízení, úřady pro ochranu osobních údajů i finanční regulátory. Totéž řekla deníku The Irish Times, podle kterého má Revolut jen v Irsku 3,4 milionu klientů.

Co z toho plyne pro klienta v Česku

Revolut uvádí přes 80 milionů klientů celosvětově a v Česku 1,3 milionu uživatelů (údaj firmy z letošního března). Jestli jsou mezi zasaženými i čeští zákazníci, banka na dotaz Lupy neupřesnila. Kdo oznámení nedostal, je tedy pravděpodobně mimo, ale jistotu z veřejných zdrojů zatím nemá nikdo.

Rozbor od bezpečnostní firmy Malwarebytes čeká hlavní dopad ve druhém kole: ne v okamžitých převodech, ale v podvodech, které uniklé údaje použijí jako důkaz věrohodnosti. Volající, který zná vaše datum narození, adresu i poslední transakci, zní jinak než náhodný podvodník. Rada z něj zní nezáživně: nikdy nepokračovat v komunikaci, která přišla sama, a banku kontaktovat výhradně přes aplikaci nebo oficiální číslo, ne přes odkaz z e-mailu či zprávy.

Druhá věc je delší – kopie dokladu se nedá „změnit jako heslo“. Zůstává platná roky a dá se použít k založení účtu na cizí jméno. Proti tomu pomáhá jen hlídat, jestli někde nevznikají účty nebo úvěry, o kterých nevíte.

Doména není doklad

Síla falešné úřední žádosti je v tom, že obchází všechnu techniku, kterou banka má. Šifrování, dvoufaktorové přihlášení ani sledování podezřelých plateb nepomůžou, když údaje vydá vlastní pracovník, protože žádost přišla ze správné domény. Pravá adresa přitom o pravosti žádosti neříká nic. Jak se útočník k adrese v doméně úřadu dostal, Revolut neuvedl – stejně jako neřekl, o který úřad šlo.

Tohle už není věc, se kterou by uživatel mohl něco udělat. Rozhoduje se to na straně banky, u postupu, kterým si žádost ověří jinou cestou, než kterou přišla – třeba zavoláním úřadu na číslo z jeho vlastního webu. Jestli Revolut takový krok měl, nebo ho po incidentu zavádí, ve svých vyjádřeních neuvádí.

Zdroje

• TechCrunch: Revolut confirms customer data breach through fake government requests (12. 9. 2026)
• The Register: Revolut falls for fake government requests, hands over customer data (14. 9. 2026)
• The Irish Times: Revolut blames „sophisticated impersonation scam“ for customer data breach (14. 9. 2026)
• Help Net Security: What we know about the Revolut data breach so far (14. 9. 2026)
• Malwarebytes: Revolut gave customer IDs and financial data to a government impostor (14. 9. 2026)
• Lupa.cz: Revolut řeší uniklá data skoro 700 lidí, odmítá, že by šlo i o biometrické údaje zákazníků (15. 9. 2026)
• CzechCrunch: Revolut má v Česku 1,3 milionu uživatelů (24. 3. 2026)