Марк Карпелес про справу Revolut: не мали надсилати інформацію

• Карпелес критикує, що Revolut спочатку не підтвердив запит з агентства, яке його надіслало.
• Дані користувачів з високим профілем були розповсюджені серед підозрюваних зловмисників.

Екс-генеральний директор збанкрутілої біржі біткоїнів (BTC) Mt. Gox, Марк Карпелес, розкритикував необанк Revolut за розповсюдження приватних даних своїх клієнтів.

Карпелес зазначив, що платформа спочатку не підтвердила запит з агентства, яке його надіслало, перед обробкою масової передачі конфіденційної інформації.

Інцидент стався, коли фінансова установа почала передачу записів після отримання електронного листа, який, як виявилося, був висококласною підробкою, що скомпрометувала конфіденційність її клієнтів.

Згідно з заявами підприємця, фінансова установа вчинила "серйозну методологічну помилку", негайно відповівши на запит і відкинувши перевірку на

Revolut не мав надсилати дані клієнтів (KYC, історичні дані тощо) у відповідь на електронний лист лише тому, що він надійшов з урядового агентства.

Марк Карпелес, екс-CEO Mt. Gox.

Дійсно, дані користувачів з високим профілем Revolut були розповсюджені серед підозрюваних зловмисників через цю помилку в протоколах попередньої перевірки.

Передана інформація охоплює особисті дані для ідентифікації, такі як повні імена, дати народження, адреси проживання, копії офіційних документів з фотографіями, банківські виписки з IBAN, детальні записи про зняття коштів та повну історію транзакцій, виконаних на платформі, як повідомляє CriptoNoticias.

Окрім особистих даних, Revolut надав історії операцій з BTC кількох клієнтів, що підвищує ризик фішингових атак на користувачів необанку.

Коротко кажучи, Revolut не мав надсилати дані клієнтів (KYC, історичні дані тощо) у відповідь на електронний лист лише тому, що він надійшов з урядового агентства.https://t.co/mhEqMmUZjW --- Марк Карпелес (@MagicalTux) 13 вересня 2026 року

"Чи мав рацію Revolut?"

Юридичний аналіз, представлений екс-директором Mt. Gox, вказує на те, що аргумент діяти на основі розумної віри не має юридичної підтримки в рамках норм Європейського Союзу.

Карпелес поставив під сумнів позицію необанку, публічно запитуючи: "Чи мав рацію Revolut, розкриваючи інформацію на основі електронного листа?".

На відміну від законодавства США---де положення 18 U.S.C. § 2702(b)(8) передбачає запити на дані в надзвичайних ситуаціях на основі добросовісності постачальника---нормативна база країн, де працює Revolut, накладає сувору банківську таємницю. Відповідно до статті 6.1.c GDPR, будь-яка передача даних вимагає попереднього юридичного зобов'язання і не допускає виправдань добросовісності.

У Литві --- країні, що регулює Revolut --- стаття 55 Закону про банки вимагає письмових запитів, надісланих через попередньо узгоджені канали, і встановлює формальний юридичний термін до 20 днів для відповіді.

Так само у Франції, такі органи, як TRACFIN, надсилають свої запити через автентифіковані платформи, такі як ERMES, а Посібник з авторизованих третіх осіб CNIL зобов'язує проводити попередні перевірки (наприклад, телефонний дзвінок для підтвердження).

Усе це відкидає будь-яке виправдання для негайної обробки неавтентифікованого запиту.

Крім того, Карпелес підкреслив, що практичні рекомендації органів захисту персональних даних чітко вказують, що установи не можуть підтверджувати запити на основі контекстуальних елементів або простого вигляду відправника.

Насправді, базовий протокол для запитів через електронну пошту вимагає безпосереднього контакту для перевірки з публічною установою через номери або канали зв'язку, опубліковані незалежно.

Цей випадок виявляє прогрес соціальної інженерії та все більш точних інструментів хакерів і зловмисників, які змогли обійти контролі та бар'єри для доступу до привілейованої інформації. Тому важливо оптимізувати процеси безпеки за допомогою автоматизованих інструментів та штучного інтелекту (ШІ), як це вже пропонували фахівці цьому виданню.