Revolut mengumumkan insiden kebocoran data setelah penyerang menyamar sebagai lembaga pemerintah dan menggunakan kredensial autentikasi berdomain pemerintah yang sah. Perusahaan menegaskan sistem internal dan dana nasabah tidak terkompromi, dan jumlah nasabah terdampak terbatas.
Meski begitu, cakupan data yang terekspos tergolong sensitif: nama, tanggal lahir, pekerjaan, nomor telepon, alamat, surel, salinan paspor dan SIM, swafoto verifikasi wajah, nomor IBAN, rekening koran, catatan penarikan, hingga transaksi Bitcoin. Revolut beroperasi di lebih dari 160 negara dengan lebih dari 80 juta nasabah.
Pelajaran pentingnya ada pada jalur masuknya. Serangan ini tidak menembus tembok teknis, melainkan menumpang kepercayaan pada identitas pengirim — pola yang sama yang membuat banyak organisasi meloloskan permintaan data hanya karena datang dari domain yang tampak resmi. Verifikasi di luar kanal dan pembatasan data yang boleh dikeluarkan atas satu permintaan jauh lebih efektif daripada menambah lapisan firewall.