Do Revoluta przyszły wnioski o informacje o klientach, wysłane z adresu w domenie prawdziwej agencji rządowej. Bank je zrealizował i ujawnił dane. Dopiero potem okazało się, że po drugiej stronie nie było żadnej agencji. Wiadomości do poszkodowanych poszły w piątek 11 września 2026, a dzień później firma potwierdziła sprawę w oświadczeniu przekazanym redakcji TechCruncha. Polskie portale odtworzyły komunikat i listę danych, które wyszły z banku. Nikt nie wytłumaczył, na czym polega ta klasa oszustwa. A jest to akurat najważniejsze, bo pokazuje, że żadne zabezpieczenie po stronie klienta tego zdarzenia by nie powstrzymało.
Co dokładnie potwierdził Revolut
Oświadczenie firmy jest krótkie i warto przeczytać je dosłownie. Revolut mówi o “wyrafinowanym zewnętrznym oszustwie polegającym na podszyciu się, w którym nieuprawniona osoba trzecia wykorzystała adres e-mail w domenie prawdziwej agencji rządowej do złożenia fałszywych wniosków o informacje”. Dodaje też jedno zdanie, które oddziela tę sprawę od typowego włamania: “systemy Revoluta i środki klientów pozostały nienaruszone”.
Zakres danych jest tu gorszy od samego zdarzenia. Redakcja TechCruncha widziała wiadomości wysłane klientom. Wynika z nich, że z banku wyszły:
- dane tożsamości i kontaktowe, data urodzenia, adres pocztowy i mailowy, numer telefonu;
- kopie dokumentów tożsamości, łącznie z paszportami i prawami jazdy.
Relacja wymienia też zdjęcia z weryfikacji tożsamości, wyciągi z konta oraz historie transakcji, ale ostrożniej: te dane mogły znaleźć się w ujawnionym zestawie. Ta różnica jest w źródle i zostaje w tekście.
Bank podaje, że dotyczy to “ograniczonej liczby” klientów. Konkretnej liczby odmówił. Nie ujawnił też, o którą agencję i o który kraj chodzi. Po wykryciu sprawy zablokował adres nadawcy. Powiadomił przy tym, cytując oświadczenie, odpowiednią instytucję rządową, organy ścigania oraz właściwych regulatorów. Revolut nie podał, jak zweryfikował te wnioski przed ich realizacją. Żadne źródło nie potwierdza też, czy wśród poszkodowanych są osoby z Polski.
Alarm podniósł ZachXBT, śledczy zajmujący się kryptowalutami. W piątek wieczorem opisał wiadomości, które dostali klienci. Jego zdaniem wysyłka wyglądała na wymierzoną w osoby zamożne. To jednak jego ocena, a nie ustalenie banku.
Fałszywy wniosek służb, czyli atak wymierzony w procedurę
Każda duża platforma ma ścieżkę dla organów ścigania. Policja albo prokuratura pisze do banku, do operatora albo do serwisu społecznościowego i dostaje dane konkretnego użytkownika. Ta ścieżka jest od lat celem osobnej klasy oszustw, w której napastnik podszywa się pod uprawniony organ.
Najbardziej znanym wariantem jest fałszywy wniosek o dane w trybie pilnym, po angielsku emergency data request. Tryb pilny istnieje dla sytuacji, w których liczą się minuty, i pozwala pominąć część formalności. Nie wiadomo, czy właśnie tego wariantu użyto przeciwko Revolutowi – bank nie ujawnił ani treści wniosków, ani sposobu ich weryfikacji.
Sam schemat jest za to dobrze opisany. Napastnik nie atakuje serwera, tylko procedurę. Zdobywa dostęp do prawdziwej skrzynki służbowej albo kupuje taki dostęp na forum przestępczym. Potem pisze pismo, które od strony technicznej wygląda tak jak setki wcześniejszych, bo adres nadawcy naprawdę należy do instytucji. Cała trudność po stronie firmy polega na tym, że odsyłanie takich wniosków do wielodniowej weryfikacji też ma swoją cenę.
FBI ostrzegało przed tym mechanizmem w notatce dla branży z 4 listopada 2024. Urząd opisywał wtedy rosnący handel przejętymi skrzynkami instytucji amerykańskich i zagranicznych. Wcześniej ta sama metoda zadziałała na Apple, Metę i Discorda. Firmy te według relacji z 2022 roku wydały napastnikom adresy, numery telefonów oraz adresy sieciowe użytkowników. Sprawa Revoluta jest więc kolejnym rozdziałem znanej historii, a nie nowym rodzajem zagrożenia.
Dlaczego skan paszportu jest tu najgorszą stratą
Hasło da się zmienić w minutę. Kartę płatniczą bank zastrzeże i wyśle nową. Numer telefonu można przenieść. Dokument tożsamości i zdjęcie twarzy z weryfikacji działają inaczej, bo są przypisane do ciebie na lata i nie mają odpowiednika przycisku “zmień”.
Kopia dokumentu razem ze zdjęciem weryfikacyjnym to komplet, którym otwiera się konta w innych serwisach. Dokładnie taki zestaw zbiera każda aplikacja finansowa przy zakładaniu konta. Do tego dochodzą wyciągi i historia transakcji, czyli materiał, na którym buduje się wiarygodną rozmowę telefoniczną. Oszust, który wymienia twoje ostatnie przelewy, przechodzi przez twoją nieufność bez wysiłku.
Tu jest też granica, której nie warto przekraczać w drugą stronę. Zastrzeżenie numeru PESEL, o którym pisze się przy każdym wycieku, nie blokuje wszystkiego. Rozłożyliśmy to na czynniki pierwsze w osobnym tekście o tym, co zastrzeżenie realnie blokuje, i ta lista jest krótsza, niż sądzi większość ludzi.
Co zrobić, jeśli masz w Revolucie dokumenty tożsamości
Kolejność ma znaczenie, bo dwa pierwsze kroki są darmowe i zajmują kilka minut.
- Sprawdź skrzynkę i aplikację. Revolut kontaktował się z poszkodowanymi bezpośrednio. Brak wiadomości oznacza, że według banku sprawa cię nie dotyczy.
- Zastrzeż dowód w bazie zastrzeżeń. Zastrzeżenie różni się od unieważnienia i warto znać tę różnicę, zanim pójdziesz do urzędu. Opisaliśmy ją w tekście o zastrzeżeniu dowodu osobistego.
- Przyjmij, że telefon z banku może być fałszywy. Przez najbliższe miesiące rozłączaj się i oddzwaniaj na numer z aplikacji. Rozmówca znający twoje transakcje nie jest przez to wiarygodny.
- Zachowaj wiadomość od banku. Jest dowodem w ewentualnej skardze albo pozwie. Drogi dochodzenia roszczeń porównywaliśmy w tekście o odszkodowaniu za wyciek danych.
Jednej rzeczy zrobić się nie da, a jedną warto znać. Ujawnionej kopii paszportu nie da się wycofać z obiegu. Sam dokument można jednak unieważnić: jeżeli potrafisz uprawdopodobnić nieuprawnione wykorzystanie swoich danych, zgłaszasz to osobiście dowolnemu wojewodzie albo konsulowi. Paszport zostaje wtedy unieważniony z dniem zgłoszenia.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Czy UODO albo KNF zajmą się sprawą Revoluta
Odpowiedź wymaga jednego akapitu o tym, kto właściwie nadzoruje ten bank. Revolut Bank UAB ma siedzibę na Litwie, podlega Europejskiemu Bankowi Centralnemu oraz Bankowi Litwy, a w Polsce działa przez oddział zarejestrowany w Krakowie. Zgodę na jego utworzenie Komisja Nadzoru Finansowego wydała w grudniu 2025.
Dla ochrony danych decyduje jednak nie sama siedziba banku, tylko to, kto jest administratorem danych. RODO w artykule 56 wprowadza mechanizm jednego okienka: wiodącym organem nadzorczym jest urząd z kraju głównej jednostki organizacyjnej administratora. Brakujące ogniwo podaje sam Revolut. W polityce prywatności firma wskazuje Revolut Bank UAB jako głównego administratora danych klientów w Europejskim Obszarze Gospodarczym, a litewską inspekcję ochrony danych jako organ właściwy dla przetwarzania transgranicznego. To tłumaczy ciszę, która części czytelników wydaje się podejrzana.
Nie zamyka to jednak drogi mieszkańcowi Polski. Artykuł 77 ustęp 1 RODO daje prawo złożenia skargi organowi nadzorczemu w państwie swojego zwykłego pobytu. Skargę składa się w UODO, a urząd przekazuje ją organowi wiodącemu. Na 13 września 2026 w aktualnościach UODO nie ma wpisu o tej sprawie. Stanowiska Komisji Nadzoru Finansowego nie udało nam się sprawdzić, bo lista jej komunikatów nie wczytuje się bez skryptów przeglądarki, więc z naszej strony to niewiadoma, a nie brak reakcji.
Drugi incydent we wrześniu: dane klientów handlujących akcjami z USA
Aktualizacja z 26 września. Tydzień później wyszła na jaw druga, niezależna od opisanej wyżej sprawa. Tym razem dane wyciekły od DriveWealth, amerykańskiego brokera, przez którego Revolut obsługiwał handel akcjami z USA. DriveWealth podaje, że nieuprawniony dostęp do jego sieci trwał 4 i 5 września i że wyprowadzono z niej dane osobowe. Według tego komunikatu hasła ani dane kart i rachunków nie wyciekły.
Revolut przekazał irlandzkiemu nadawcy RTÉ, że w Europie chodzi o historyczne dane z czasu przed zmianą modelu handlu akcjami, wdrażaną od grudnia 2023 do czerwca 2025 roku, zależnie od rynku. Wśród danych są imię i nazwisko, e-mail, telefon, adres, informacje o zatrudnieniu, obywatelstwo, wiek i płeć. Osoby, których to dotyczy, dostały e-mail od DriveWealth i od Revoluta. Jeśli handlowałeś w Revolucie akcjami z USA, zanim bank zmienił tę usługę, sprawdź skrzynkę i nie podawaj danych w odpowiedzi na wiadomości “od brokera”.
Najczęstsze pytania o wyciek danych Revolut
Czy moje pieniądze w Revolucie są zagrożone?
Bank twierdzi, że środki klientów pozostały nienaruszone, a jego systemy nie zostały naruszone. Zdarzenie polegało na wydaniu danych na fałszywy wniosek, więc dostępu do rachunków nikt nie przejął. Ryzyko przesuwa się na kolejne miesiące i dotyczy prób podszycia się pod ciebie w innych miejscach.
Czy powinienem zamknąć konto w Revolucie?
Zamknięcie konta nie wycofa danych, które już wyszły, więc jako reakcja na samo zdarzenie niewiele daje. Ma sens wtedy, gdy stracisz zaufanie do procedur firmy, i jest to decyzja o relacji z bankiem, a nie środek zaradczy. Same dane zostaną u napastnika niezależnie od tego, co zrobisz z rachunkiem.
Podsumowanie
Sprawa, o której mowa, nie była włamaniem. Nieuprawniona osoba napisała do Revoluta z adresu w domenie prawdziwej agencji rządowej, a bank zrealizował wnioski i wydał dane. Wyszły z niego dane kontaktowe oraz kopie paszportów i praw jazdy ograniczonej liczby klientów, której bank nie ujawnił. Zdjęcia z weryfikacji, wyciągi i historie transakcji według relacji mogły do tego dojść. Podszywanie się pod uprawniony organ to znana klasa oszustwa, przed którą FBI ostrzegało w 2024 roku, a wcześniej uległy jej Apple, Meta i Discord. Dla klienta z Polski praktyczne pozostają trzy rzeczy: sprawdzić, czy przyszła wiadomość od banku, zastrzec dokument i przez najbliższe miesiące traktować telefony z banku jak potencjalnie fałszywe. Skargę w sprawie danych składa się w UODO, choć prowadzić ją będzie organ litewski.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
