Újabb globális e-kereskedelmi szereplő esett áldozatul célzott kibertámadásnak. A prémium divatcikkeket forgalmazó Revolve Group az amerikai Értékpapír- és Tőzsdefelügyelethez (SEC) benyújtott hivatalos 8-K jelentésében elismerte, hogy illetéktelenek szereztek hozzáférést a belső rendszereihez és az online áruházi platformjához .
A belső vizsgálat megállapította, hogy a támadók kifejezetten azokat a vásárlókat célozták meg, akik a kényelmesebb és gyorsabb fizetés érdekében elmentették bankkártyájuk adatait a felhasználói fiókjukban .
Bár a Revolve állítása szerint az incidenst azóta elhárították, és az nem okozott fennakadást a napi üzletmenetben, a megszerzett adatok jellege miatt az érintett vásárlók közvetlen pénzügyi veszélynek vannak kitéve .
Mi történt pontosan? Az incidens részletei
A kiskereskedő jelentése szerint a támadás még 2026. szeptember 11-én történt. A hackereknek sikerült behatolniuk a vállalat online vásárlási platformjának azon adatbázisaiba, amelyek az elmentett kártyaadatokat (Card-on-File) kezelik .
A behatolást követően az elkövetők automatizált szkriptek és eszközök segítségével hatalmas mennyiségű ügyféladatot szűrtek le a rendszerekből . A megszerzett adatcsomagok az alábbi érzékeny információkat tartalmazzák:
- A kártyabirtokosok teljes neve .
- A vásárlók lakcíme és kapcsolattartási adatai .
- A mentett bankkártyák száma .
- A kártyák lejárati dátuma .
| Az incidens főbb paraméterei | Érintett adatok és státusz |
|---|---|
| Támadás időpontja | 2026. szeptember 11. |
| Közreadás (SEC 8-K filing) | 2026. október 29. |
| Támadási vektor | Automatizált rendszerfeltörés és adatszűrés |
| Érintett ügyfelek köre | Kizárólag az elmentett bankkártyával rendelkező felhasználók |
| Eltulajdonított adatok | Név, cím, kártyaszám, lejárati idő |
| Biztonsági kódok (CVV/CVC) | Nem áll rendelkezésre bizonyíték a lopásukra |
Kiket érint, és mekkora a kiterjedése?
A Revolve hivatalos tőzsdei jelentése nem tartalmazott pontos adatot a kompromittált fiókok globális számáról . Azonban az amerikai szövetségi államok ügyészi hivatalaihoz benyújtott kötelező adatszivárgási jelentések gyorsan rávilágítottak az ügy valós méretére.
A közzétett állami adatok alapján a kiküldött értesítő levelek száma már most meghaladja a 200 000-et . Csak Texas államban 127 200 lakos kártyaadatait lopták el, míg Vermontban 1328 érintettet azonosítottak . Bizonyos kiberbiztonsági elemzések szerint – az állami adatbázisok rejtett adatmezőit vizsgálva – a globálisan érintett felhasználók valós száma akár az 1,5 milliót is elérheti .
A támadás kizárólag a Revolve.com és a hozzá kapcsolódó e-kereskedelmi felületek azon regisztrált tagjait érinti, akik aktív kártyaprofilt tartottak fenn a fiókjukban . Azok a vásárlók, akik minden tranzakció alkalmával manuálisan adták meg a kártyaadataikat (és nem mentették el azokat), vagy külső fizetési kapukat (pl. PayPal, Apple Pay) használtak, biztonságban vannak.
Miért kiemelten veszélyes a „mentett kártyás” támadás?
Az e-kereskedelemben a fizetési adatok mentése (Card-on-File) elterjedt kényelmi funkció, amely azonban jelentős támadási felületet biztosít a hackereknek . Bár a Revolve jelentése nem tesz említést a kártyák hátoldalán található háromjegyű biztonsági kódok (CVV/CVC) ellopásáról, a kiberbűnözőknek a megszerzett kártyaszám és lejárati idő is elegendő lehet az anyagi visszaélésekhez .
A megszerzett adatok birtokában a csalók az alábbi módszerekkel élhetnek vissza:
- Vásárlások CVV nélkül: Számos online áruház és előfizetéses szolgáltatás nem követeli meg a CVV kód megadását a tranzakciók jóváhagyásához, így a lopott kártyaszám és lejárati idő önmagában is elegendő a visszaélésekhez .
- Célzott adathalászat (Phishing): Mivel a hackerek a kártyaadatok mellett a vásárlók nevét, lakcímét és e-mail-címét is megszerezték, rendkívül hitelesnek tűnő, személyre szabott adathalász leveleket küldhetnek a Revolve nevében . Ezekben a levelekben „biztonsági ellenőrzésre” hivatkozva könnyen kicsalhatják a hiányzó CVV kódokat vagy a banki kétlépcsős azonosítási kódokat .
A Revolve reakciója: nincs ingyenes monitoring
A Revolve a támadás észlelése után azonnal elindította a belső incidenskezelési protokollt . Elszigetelték és megszüntették az illetéktelen hozzáférést, értesítették a szövetségi bűnüldöző szerveket (FBI), és külső kiberbiztonsági szakértőket vontak be a rendszerek megerősítésére .
Nagy felháborodást váltott ki azonban a biztonsági piacon, hogy a Revolve az érintett ügyfeleknek kiküldött tájékoztató levelekben nem ajánl fel ingyenes hitel- vagy identitásfigyelő (credit monitoring) szolgáltatást. Ehelyett a vállalat mindössze arra emlékezteti a vásárlóit, hogy maguk ellenőrizzék a bankszámlakivonataikat, és legyenek éberek a gyanús tranzakciókkal szemben .
Mit kell tennie a felhasználóknak?
Ha korábban vásároltál a Revolve oldalán és elmentetted a bankkártyádat, az alábbi lépések azonnali végrehajtása javasolt a pénzügyi veszteségek elkerülése érdekében:
| Lépés sorszáma | Ajánlott művelet | Gyakorlati megvalósítás |
|---|---|---|
| 1. lépés | Kártya letiltása és csere | Vedd fel a kapcsolatot a számlavezető bankoddal, és kérj új bankkártyát a kompromittált darab helyett . Ez az egyetlen 100%-os biztonságot nyújtó megoldás. |
| 2. lépés | Tranzakciók monitorozása | Folyamatosan ellenőrizd a mobilbanki alkalmazásodban a számlatörténetet, különösen a gyanús, kisértékű külföldi terheléseket . |
| 3. lépés | Kártya törlése a fiókból | Lépj be a Revolve fiókodba (és más webshopokba is), és töröld az elmentett kártyaprofilokat. |
| 4. lépés | Óvatosság az e-mailekkel | Ne kattints olyan e-mailekben található linkekre, amelyek a bankkártyád megerősítését vagy jelszavad megváltoztatását kérik a Revolve-ra hivatkozva . |
A Revolve esete újfent rávilágított arra a kiberbiztonsági alapszabályra, hogy a kényelem sokszor a biztonság rovására megy. A webáruházakban elmentett bankkártyák adatbázisai a hackerek elsőszámú célpontjai közé tartoznak . Bár a Revolve állítása szerint elhárította a fenyegetést, a legalább 200 000, de akár 1,5 millió érintett vásárló számára az egyetlen megnyugtató megoldást a kártyák azonnali cseréje és a fokozott digitális éberség jelenti .
Források
- The Record from Recorded Future News – Hivatalos beszámoló a Revolve adatvédelmi incidenséről
- SecurityWeek – Elemzés a Revolve-ot ért cyberámadásról és a tőzsdei jelentésekről
- Malwarebytes – Részletes jelentés a kiszivárgott adatokról és a lehetséges érintettek számáról
- PYMNTS.com – Pénzügyi és e-kereskedelmi hatások elemzése a Revolve kapcsán