Revolut wydał oszustom pełne teczki 680 klientów. Policzyłem, ile z tego przypada na Polskę i ile kosztuje odbudowanie tożsamości

👁 112 przeczytań

Najgorszy rodzaj wycieku to nie ten, w którym ktoś włamuje się do bazy. Najgorszy jest ten, w którym instytucja finansowa sama, dobrowolnie, w odpowiedzi na urzędowo wyglądające pismo wysyła komplet dokumentów klienta. Dokładnie to zdarzyło się w Revolucie, o czym poinformował Niebezpiecznik. Przestępcy podszyli się pod organ państwowy, powołali się na Europejski Nakaz Dochodzeniowy i przez pięć miesięcy zbierali odpowiedzi od litewskiego Revolut Bank UAB.

Zakres przekazanych danych jest bliski kompletnej teczce osobowej: imię i nazwisko, data urodzenia, zawód, adres zamieszkania, e-mail, numer telefonu, skany paszportu lub prawa jazdy, selfie z weryfikacji KYC, wyciągi z numerami IBAN, historia wypłat i pełna historia transakcji, łącznie z bitcoinowymi. W praktyce oznacza to, że napastnik dysponuje wszystkim, co potrzebne do przejęcia tożsamości w polskim systemie finansowym - z wyjątkiem numeru PESEL, którego Revolut przy zakładaniu konta nie zawsze wymaga, ale który da się odtworzyć z daty urodzenia przy odpowiedniej determinacji.

680 osób na 29 krajów, czyli ile przypada na Polskę

Revolut nie podał liczby poszkodowanych, mówiąc o „bardzo ograniczonej” grupie. Media szacują ją na 680 osób. Osoba podająca się za napastnika wymieniła 29 krajów, z których pozyskano dane, i Polska stoi na tej liście na pierwszym miejscu. To ważny szczegół, bo takie listy rzadko układa się alfabetycznie - częściej według liczby rekordów albo kolejności zbierania.

Policzyłem to na dwa sposoby. Przy równym rozłożeniu 680 rekordów na 29 krajów wychodzi około 23 osoby na kraj. Ale rozkład na pewno nie jest równy: Revolut ma w Polsce jeden ze swoich największych rynków w Europie Środkowej, a ZachXBT wskazuje, że celem byli głównie zamożni klienci i osoby powiązane z kryptowalutami. Jeśli Polska odpowiada za 8-12 procent rekordów - co przy wielkości polskiej bazy klientów Revoluta i aktywności krajowej społeczności krypto jest ostrożnym założeniem - mówimy o 54 do 82 poszkodowanych Polakach. Weźmy środek tego zakresu: około 68 osób. To liczba wyliczona, nie ogłoszona, i traktujcie ją jako taką.

Przy 80 milionach klientów Revoluta w ponad 160 krajach 680 osób to 0,00085 procent bazy, czyli jedna osoba na 117 tysięcy. Statystycznie wygląda to jak zaokrąglenie do zera. Dla tych 680 osób to jednak zdarzenie o charakterze nieodwracalnym: skanu paszportu nie da się zmienić przez zmianę hasła, a selfie z KYC będzie w obiegu przestępczym tak długo, jak długo ktoś będzie chciał za nie zapłacić.

10 000 BTC, czyli 2,95 miliarda złotych za nieopublikowanie danych 680 osób

Napastnicy żądają od Revoluta okupu w wysokości 10 000 BTC, co według doniesień odpowiada ponad 780 milionom dolarów. Przy kursie 3,78 złotego za dolara daje to 2 948 400 000 złotych - blisko trzy miliardy. Podzielone na 680 poszkodowanych wychodzi 4 336 000 złotych za ochronę danych jednej osoby. Dla porównania: maksymalna kara administracyjna z RODO to 4 procent globalnego obrotu grupy, a żądany okup najprawdopodobniej ten pułap przekracza. Żądanie jest więc raczej gestem niż ofertą - i wszystko wskazuje na to, że dane i tak zostały już częściowo opublikowane.

„Celem byli przede wszystkim zamożni klienci i osoby związane z kryptowalutami”

Taką charakterystykę poszkodowanych podał badacz kryptowalut ZachXBT, cytowany w relacji Niebezpiecznika. Wynika z niej, że wnioski nie były przypadkowe: przestępcy wysyłali setki identyfikatorów transakcji krypto z pytaniem, do kogo należą powiązane konta. To odwrotność zwykłego wycieku. Nie pytali „dajcie mi bazę”, pytali „kto stoi za tym konkretnym portfelem”. Revolut odpowiadał.

Ile kosztuje odbudowa tożsamości - rachunek dla jednej ofiary

Zestawiłem koszty, które w Polsce realnie poniesie osoba z takiego zestawu danych. Nowy paszport dla osoby dorosłej to 140 złotych opłaty, a przy pilnym trybie i dojazdach do urzędu trzeba doliczyć dzień wolnego. Wymiana prawa jazdy to 100 złotych i 50 groszy. Zastrzeżenie numeru PESEL w aplikacji mObywatel jest darmowe, ale wiąże się z tym, że przez czas zastrzeżenia nie weźmiecie kredytu ani nie kupicie telefonu na abonament bez odblokowania.

Do tego dochodzą koszty, o których nikt nie mówi, dopóki ich nie poniesie. Raport z Biura Informacji Kredytowej i alert BIK to abonament rzędu 10-25 złotych miesięcznie, a monitorować trzeba przez co najmniej dwa lata, bo skany dokumentów nie tracą wartości. To 240-600 złotych. Konsultacja prawna przy próbie wzięcia kredytu na wasze dane to 300-600 złotych za godzinę, a takie sprawy nie kończą się na jednej godzinie. Jeśli trzeba złożyć zawiadomienie do prokuratury i prowadzić korespondencję z bankiem, który udzielił kredytu oszustowi, realistycznie mówimy o 3-6 godzinach pracy prawnika, czyli 1 200-3 000 złotych.

Sumując tylko wydatki, których da się uniknąć jedynie przez zignorowanie problemu: 140 + 100,50 + 420 (średnia za monitoring BIK przez dwa lata) + 2 100 (średnia za obsługę prawną) = 2 760,50 złotych na osobę. Przy szacowanych 68 poszkodowanych Polakach to 187 714 złotych kosztów przerzuconych na klientów za błąd, którego żaden z nich nie popełnił. I to rachunek optymistyczny, bo nie zawiera ani jednej złotówki faktycznie wyłudzonych środków.

Co polskie prawo naprawdę daje poszkodowanemu

Tu pojawia się rozróżnienie, które w komentarzach ginie, a jest kluczowe. Polskie prawo traktuje wyciek danych i kradzież pieniędzy jako dwie osobne sprawy, z dwoma różnymi podstawami i dwoma różnymi skutkami.

Za wyciek danych odpowiada RODO. Artykuł 82 daje prawo do odszkodowania za szkodę majątkową i niemajątkową, a od wyroku Trybunału Sprawiedliwości UE w sprawie C-300/21 wiemy, że sama utrata kontroli nad danymi nie wystarcza - trzeba wskazać konkretną szkodę, choćby w postaci realnego lęku przed nadużyciem. Polskie sądy przyznają w takich sprawach zwykle kwoty rzędu 1 500-10 000 złotych, a nie dziesiątek tysięcy. Przy moim wyliczonym koszcie 2 760 złotych na osobę oznacza to, że nawet wygrana sprawa ledwo pokrywa wydatki, a nie rekompensuje ryzyka.

Za skradzione pieniądze odpowiada ustawa o usługach płatniczych, artykuły 46 i następne. Zasada jest korzystna: przy nieautoryzowanej transakcji płatniczej bank ma obowiązek zwrócić środki, a udział własny klienta ogranicza się do 50 euro, czyli 215 złotych przy kursie 4,30. Haczyk polega na tym, że bank może odmówić, jeśli wykaże rażące niedbalstwo klienta - a przy atakach ukierunkowanych, gdzie oszust zna wasz zawód, adres, IBAN i historię transakcji, przekonanie ofiary do samodzielnego zatwierdzenia przelewu jest banalnie łatwe. Transakcja autoryzowana przez was, choćby pod wpływem doskonale przygotowanego oszustwa, nie jest transakcją nieautoryzowaną w rozumieniu ustawy. I to jest właściwe niebezpieczeństwo tego wycieku: przestępcy nie potrzebują włamywać się na konto, gdy mają materiał do przekonania was, żebyście zrobili to sami.

Trzy rzeczy do zrobienia w tym tygodniu, jeśli macie Revoluta

Kolejność ma znaczenie, bo pierwsza czynność jest darmowa i natychmiastowa. Zastrzeżcie numer PESEL w aplikacji mObywatel albo w urzędzie gminy - od czerwca 2024 roku banki mają obowiązek sprawdzać ten rejestr przed udzieleniem kredytu, a kredyt udzielony na zastrzeżony PESEL jest wobec was bezskuteczny. To jedno kliknięcie, które przecina najgroźniejszy scenariusz.

Drugie: sprawdźcie skrzynkę e-mail powiązaną z Revolutem, w tym folder ze spamem, pod kątem powiadomienia o incydencie. Bank ma obowiązek z artykułu 34 RODO poinformować was bez zbędnej zwłoki. Jeśli takie powiadomienie przyszło, zachowajcie je - to dowód w sprawie odszkodowawczej i podstawa skargi do UODO. Skargę składa się bezpłatnie, przez ePUAP albo listownie na adres Urzędu Ochrony Danych Osobowych, a postępowanie wobec administratora prowadzonego z Litwy będzie się toczyło w ramach mechanizmu współpracy organów nadzorczych, gdzie organem wiodącym jest litewska Valstybinė duomenų apsaugos inspekcija. Polski UODO działa wtedy jako organ zainteresowany i przekazuje wasze skargi dalej.

Trzecie, i najbardziej niewygodne: założcie, że każdy telefon lub e-mail od „pracownika banku”, który zna wasz adres, zawód i ostatnie transakcje, jest próbą oszustwa. Ta wiedza nie jest już dowodem tożsamości rozmówcy - przeciwnie, po tym wycieku jest przesłanką, żeby się rozłączyć. Jeśli macie w Revolucie znaczące środki lub kryptowaluty, rozważcie rozbicie ich na kilka instytucji, bo to jedyna ochrona, która działa niezależnie od tego, jak dobrze wasz dostawca weryfikuje pisma od rzekomych prokuratur.

Pięć miesięcy to nie wpadka, to brak procedury

Mechanizm ataku był prosty do rozpoznania. Przestępcy używali skrzynki włoskiego systemu PEC - certyfikowanej poczty elektronicznej o mocy prawnej listu polecanego - i kierowali żądania do litewskiego podmiotu, powołując się na Europejski Nakaz Dochodzeniowy. Sam instrument istnieje i jest stosowany na podstawie dyrektywy 2014/41/UE, ale ma jedną cechę, której napastnicy nie odtworzyli: pochodzi od konkretnego organu sądowego lub prokuratury państwa członkowskiego i da się go zweryfikować telefonicznie w ciągu jednego dnia roboczego.

Nikt tego nie zrobił przez pięć miesięcy i setki zapytań. Skoro Revolut odpowiadał na masowe pytania o przypisanie identyfikatorów transakcji krypto do klientów, to znaczy, że w jego procedurze obsługi wniosków od organów państwowych nie było etapu weryfikacji nadawcy ani progu, po którym nietypowy wolumen zapytań uruchamia alarm. To nie jest luka w oprogramowaniu do załatania aktualizacją. To brak kontroli w procesie, który z definicji dotyczy najwrażliwszych danych, jakie bank posiada - i który w polskich bankach krajowych obsługuje wyodrębniona komórka z obowiązkiem potwierdzenia wniosku u nadawcy.

Fakty sprawdzone 20 września 2026. Źródła: Niebezpiecznik - relacja o wycieku danych klientów Revoluta, rozporządzenie RODO (art. 33, 34, 82), ustawa o usługach płatniczych z 19 sierpnia 2011 r. (art. 46), dyrektywa 2014/41/UE o europejskim nakazie dochodzeniowym, ustawa z 7 lipca 2023 r. o zastrzeżeniu numeru PESEL, cennik opłat urzędowych za wydanie paszportu i prawa jazdy. Liczba poszkodowanych Polaków, koszt odbudowy tożsamości i przeliczenie okupu na złote to moje wyliczenia na podstawie danych ze źródeł, przy kursach 3,78 zł za dolara i 4,30 zł za euro. Revolut nie ujawnił oficjalnej liczby poszkodowanych ani ich rozbicia na kraje.