Revolut डेटा उल्लंघन: रिपोर्ट किया गया फर्जी सरकारी अनुरोध

अंतिम समीक्षा: 6 अक्टूबर 2026 · कानूनी सलाह नहीं

धन शोधन निवारण (AML) दायित्वों के अधीन फर्में एक अपने ग्राहक को जानें (KYC) फ़ाइल रखती हैं। इसमें उनके द्वारा प्राप्त समुचित सावधानी के दस्तावेजों और जानकारी की एक प्रति, तथा लेनदेन के रिकॉर्ड होते हैं।^[6][7] यह फ़ाइल इसलिए रखी जाती है ताकि प्राधिकरण जाँच कर सकें।^[6] Revolut के डेटा उल्लंघन की खबर दिखाती है कि जब माँगने वाला पक्ष प्राधिकरण न हो, तो क्या हो सकता है।

Revolut के स्वामित्व वाले किसी चैनल पर कोई बयान नहीं मिला। इसलिए Revolut के शब्द वैसे ही दिए गए हैं जैसे संबंधित समाचार माध्यम ने उद्धृत किए।

Revolut डेटा उल्लंघन में क्या हुआ

12 सितंबर 2026 को Reuters ने बताया कि Revolut ने पुष्टि की है कि कंपनी को एक वैध सरकारी एजेंसी के ईमेल डोमेन से धोखाधड़ी वाले अनुरोध मिलने के बाद संवेदनशील ग्राहक जानकारी एक अनधिकृत तीसरे पक्ष को प्रकट की गई।^[12] Revolut के एक प्रवक्ता ने TechCrunch से कहा: "Revolut ने हाल ही में एक परिष्कृत बाहरी प्रतिरूपण घोटाले की पहचान की, जिसमें एक अनधिकृत तीसरे पक्ष ने जानकारी के लिए धोखाधड़ी वाले अनुरोध भेजने हेतु एक वैध सरकारी एजेंसी के डोमेन ईमेल का उपयोग किया।"^[13]

Reuters प्रवक्ता को उद्धृत करता है: "Revolut की प्रणालियाँ और ग्राहकों की धनराशि प्रभावित नहीं हुई हैं।" और प्रतिक्रिया के बारे में: "पता चलते ही हमने तुरंत उस पते को ब्लॉक कर दिया और संबंधित सरकारी एजेंसी के साथ-साथ प्रवर्तन एजेंसियों, डेटा संरक्षण और वित्तीय नियामकों को सूचित किया।"^[12]

BankInfoSecurity के अनुसार, प्रभावित ग्राहकों को एक दिन पहले, शुक्रवार 11 सितंबर को, ईमेल से सूचना भेजी गई थी। उसके प्रकाशक ने वह ईमेल देखा था।^[15] Security Affairs सूचना को उद्धृत करता है: "चूँकि संदेश में वैध डोमेन प्रमाणीकरण क्रेडेंशियल थे, इसलिए इसे इस उचित विश्वास के तहत पूरा किया गया कि यह किसी सरकारी एजेंसी का प्रामाणिक अनुरोध है।"^[19]

हर समाचार माध्यम के लिए एक पंक्ति। सूचियों को मिलाया नहीं गया है।

BankInfoSecurity के अनुसार सूचना में आगे कहा गया: "कृपया ध्यान दें कि कोई बायोमेट्रिक फ़ेशियल टेलीमेट्री डेटा शामिल नहीं था और न ही उससे छेड़छाड़ हुई।"^[15]

Reuters ने बताया कि Revolut ने ग्राहकों की संख्या को "बहुत सीमित" बताया, और TechCrunch ने बताया कि उसने एजेंसी का नाम बताने से इनकार किया।^[12][13] संख्या और एजेंसी की जानकारी इटली की सरकार से आई। 18 सितंबर 2026 को गृह मामलों के अवर सचिव (Interior Undersecretary) ने Chamber of Deputies को बताया कि Revolut ने 12 सितंबर को इटली की राष्ट्रीय साइबर सुरक्षा एजेंसी (ACN) को एक संभावित घटना की सूचना दी थी। 15 सितंबर को उसने पुष्टि की कि उसने 680 ग्राहकों का डेटा दिया था, जिनमें से आठ इतालवी थे, और उसने उन्हें इसकी जानकारी दे दी थी।^[1] उसी उत्तर में सरकार ने कहा कि Revolut ने Prefettura di Reggio Calabria से जुड़े एक प्रमाणित ईमेल पते (PEC) की सुरक्षा में सेंध लगने की सूचना दी। यह इटली के गृह मंत्रालय का एक स्थानीय कार्यालय है।^[1]

इसके पीछे का कानून: उल्लंघन संबंधी नियम और AML रिकॉर्ड रखना

GDPR के तहत, अनधिकृत प्रकटीकरण व्यक्तिगत डेटा उल्लंघन हो सकता है, और अनुच्छेद 33 और 34 अधिसूचना के दायित्व तय करते हैं।^[3] AML नियम बताते हैं कि यह फ़ाइल क्यों मौजूद है।

प्रकटीकरण व्यक्तिगत डेटा उल्लंघन हो सकता है

EU General Data Protection Regulation (GDPR) का अनुच्छेद 4(12) व्यक्तिगत डेटा उल्लंघन की परिभाषा में "व्यक्तिगत डेटा का अनधिकृत प्रकटीकरण, या उस तक अनधिकृत पहुँच" को शामिल करता है।^[3]

अनुच्छेद 33(1)Regulation (EU) 2016/679

"व्यक्तिगत डेटा उल्लंघन की स्थिति में, नियंत्रक बिना अनुचित विलंब के और, जहाँ संभव हो, उल्लंघन की जानकारी होने के 72 घंटे के भीतर, अनुच्छेद 55 के अनुसार सक्षम पर्यवेक्षी प्राधिकरण को व्यक्तिगत डेटा उल्लंघन की सूचना देगा, जब तक कि व्यक्तिगत डेटा उल्लंघन से प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रताओं को जोखिम होने की संभावना न हो।"

स्रोत: EUR-Lex, Regulation (EU) 2016/679^[3]

UK GDPR का अनुच्छेद 33(1) भी इन्हीं शब्दों से शुरू होता है।^[4] अनुच्छेद 34 के तहत, जब लोगों के लिए जोखिम उच्च होने की संभावना हो, तो नियंत्रक को उन्हें भी "बिना अनुचित विलंब के" और "स्पष्ट और सरल भाषा में" सूचित करना होगा।^[3] Revolut की ग्राहक गोपनीयता सूचना में उसके UK प्राधिकरण के रूप में Information Commissioner's Office (ICO) और European Economic Area के लिए लिथुआनिया के State Data Protection Inspectorate (VDAI) का नाम दिया गया है।^[10]

यह फ़ाइल क्यों मौजूद है: पाँच वर्ष के AML रिकॉर्ड

Fourth Anti-Money Laundering Directive (AMLD4) का अनुच्छेद 40 अपने दायरे में आने वाली फर्मों से अपेक्षा करता है कि वे संबंध समाप्त होने के बाद पाँच वर्ष तक ग्राहक समुचित सावधानी से जुड़े अपने दस्तावेज़ों और जानकारी की प्रति रखें, ताकि वित्तीय आसूचना इकाई (FIU) और अन्य सक्षम प्राधिकरण धन शोधन को रोक सकें, उसका पता लगा सकें और उसकी जाँच कर सकें।^[6] UK Money Laundering Regulations 2017 का विनियम 40 भी न्यूनतम अवधि के रूप में यही पाँच वर्ष तय करता है।^[7] 10 जुलाई 2027 से EU में EU Anti-Money Laundering Regulation (AMLR) का अनुच्छेद 77 यह भूमिका संभालेगा।^[5]

AMLD4 का अनुच्छेद 41 कहता है कि इस निर्देश के तहत किया जाने वाला प्रसंस्करण GDPR के अधीन है।^[6] दोनों प्रकार के दायित्व एक ही रिकॉर्ड पर लागू होते हैं।

प्राधिकरण क्या माँग सकते हैं

भविष्य का एक नियम विशिष्ट है। 10 जुलाई 2027 से, AMLR का अनुच्छेद 78 अपने दायरे में आने वाली फर्मों के लिए ऐसी प्रणालियाँ रखना अनिवार्य करेगा जो FIU या अन्य सक्षम प्राधिकरणों की पूछताछ का "सुरक्षित चैनलों के माध्यम से" उत्तर दें। यह पूछताछ इस बारे में होगी कि क्या पिछले पाँच वर्षों में निर्दिष्ट व्यक्तियों के साथ उनका कोई व्यावसायिक संबंध है या था, और उस संबंध की प्रकृति क्या है।^[5] यह पूछताछ से जुड़ा एक दायित्व है, न कि उन सभी चीज़ों की सूची जो प्राधिकरण प्राप्त कर सकते हैं।

UK में, ICO का मार्गदर्शन, जिसकी अभी समीक्षा चल रही है, कहता है: "आपको केवल ऐसा व्यक्तिगत डेटा साझा करना चाहिए जो उतने तक सीमित हो जितना माँगा गया है और जितना उचित है।"^[9]

यह किसे प्रभावित करता है

नवंबर 2024 में US Federal Bureau of Investigation (FBI) ने "अमेरिका स्थित कंपनियों को धोखाधड़ी वाले आपातकालीन डेटा अनुरोध भेजने के लिए हैक किए गए अमेरिकी और विदेशी सरकारी ईमेल पतों के उपयोग के एक रुझान" की चेतावनी दी।^[8]

समयरेखा: FBI की चेतावनी से इतालवी संसद तक

1. 4 नवंबर 2024FBI की चेतावनीधोखाधड़ी वाले आपातकालीन डेटा अनुरोधों पर अधिसूचना।^[8]
2. 12 सितंबर 2026रिपोर्टReuters की रिपोर्ट के अनुसार Revolut ने प्रकटीकरण की पुष्टि की।^[12]
3. 15 सितंबर 2026नियामकCity AM ने ICO और FCA के बयान प्रकाशित किए।^[16]
4. 18 सितंबर 2026संसदइटली की सरकार ने सेंध लगे एक मंत्रालय मेलबॉक्स और 680 ग्राहकों की पुष्टि की।^[1]
5. 30 सितंबर 2026मंत्रीगृह मंत्री ने संसद को बताया कि अनुरोध का सत्यापन किया जाना चाहिए था।^[2]

अगली तय तारीख: AMLR 10 जुलाई 2027 से लागू होगा।^[5]

अनुपालन टीमों को अभी क्या करना चाहिए

Security Affairs के अनुसार, Revolut की सूचना में कहा गया है कि अनुरोध में "वैध डोमेन प्रमाणीकरण क्रेडेंशियल्स मौजूद थे"।^[19] डोमेन प्रमाणीकरण में सफल होने से यह स्थापित नहीं होता कि अनुरोधकर्ता ग्राहक डेटा प्राप्त करने के लिए अधिकृत है। FBI ने धोखाधड़ी वाले अनुरोधों के लिए सेंध लगे सरकारी ईमेल पतों के उपयोग का वर्णन किया है। वह सलाह देता है कि किसी अनुरोध पर संदेह हो तो "प्रेषक और मूल प्राधिकरण" से संपर्क किया जाए।^[8] नीचे दिए गए कदम मेरी अपनी व्याख्या हैं, किसी नियामक की सूची नहीं।

• हर नए अनुरोधकर्ता का सत्यापन उन संपर्क विवरणों के माध्यम से करें जो आपने स्वयं खोजे हों।
• केवल वही साझा करें जो माँगा गया है और उचित है, और इसका कारण लिखित रूप में दर्ज करें।^[9]
• दस्तावेज़, सेल्फ़ी या लेन-देन का इतिहास फर्म से बाहर जाने से पहले एक दूसरे समीक्षक की जाँच अनिवार्य करें।
• अनुरोधों को प्रेषक के अनुसार ट्रैक करें, ताकि कई ग्राहकों के बारे में पूछने वाला एक ही मेलबॉक्स अलग से दिखाई दे।
• पहले से अभ्यास करें कि पर्यवेक्षी प्राधिकरण को सूचना कौन देगा: बिना अनुचित देरी के और, जहाँ संभव हो, जानकारी मिलने के 72 घंटों के भीतर।^[3]
• जब AML अवधि समाप्त हो जाए और कोई अन्य कानूनी आधार लागू न हो, तब व्यक्तिगत डेटा हटा दें।^[6][7]

6 अक्टूबर 2026 तक क्या अभी भी अनसुलझा है

सबसे हालिया आधिकारिक बयान 30 सितंबर 2026 का है। गृह मंत्री ने Chamber of Deputies को बताया कि अनुरोध "entilocali" नाम के एक PEC मेलबॉक्स से आया था, जो प्रीफेक्चर से जुड़ा था और बाद में पता चला कि उसका कभी उपयोग नहीं हुआ था। उन्होंने कहा कि माँगे गए डेटा और उसके स्रोत के बीच असंगति को देखते हुए, कंपनी न्यूनतम सावधानी बरतकर अनुरोध का सत्यापन कर सकती थी और उसे करना चाहिए था।^[2] यह एक मंत्री की राय है, किसी नियामक का निष्कर्ष नहीं।

• ICO के एक प्रवक्ता ने 15 सितंबर को City AM से कहा: "हम पुष्टि कर सकते हैं कि हमें एक रिपोर्ट मिली है और हम दी गई जानकारी का आकलन कर रहे हैं।" Financial Conduct Authority (FCA) ने City AM को बताया कि वह "फर्म के साथ संपर्क में है"।^[16]
• इटली के डेटा संरक्षण प्राधिकरण (Garante per la protezione dei dati personali) ने 18 सितंबर 2026 की एक समाचार सूचना में कहा कि उसने बैंकों से उसी मेलबॉक्स से आए "असामान्य" संदेशों की जाँच करने को कहा है, और अपने लिथुआनियाई समकक्ष से यह पुष्टि करने को कहा है कि क्या Revolut ने उसे किसी उल्लंघन की सूचना दी थी।^[20]
• 6 अक्टूबर 2026 को जाँचने पर VDAI के समाचार पृष्ठ पर इस घटना के बारे में कोई बयान नहीं था।^[11]
• इटली में, सार्वजनिक हित की कंप्यूटर प्रणाली तक अनधिकृत पहुँच के लिए एक आपराधिक कार्यवाही Reggio Calabria के अभियोजक कार्यालय में दर्ज है। दोनों संसदीय उत्तरों में यह नहीं बताया गया है कि मेलबॉक्स में सेंध कैसे लगी।^[1][2]
• समीक्षा किए गए स्रोतों से यह स्थापित नहीं होता कि अनुरोधों में किस कानूनी शक्ति का हवाला दिया गया था या Revolut को इसकी जानकारी कब मिली।

आपके द्वारा रखी जाने वाली KYC फ़ाइल में Didit कैसे मदद करता है

Didit यह जाँच नहीं करता कि किसी प्राधिकरण का अनुरोध असली है या नहीं, और Didit के पहचान सत्यापन में ऐसा कुछ नहीं है जो इस तरह के अनुरोध को रोक पाता। Didit का काम इसके साथ जुड़ा है: वह जाँच चलाता है जिससे दस्तावेज़ की प्रति और सेल्फी बनती है, और आपको यह नियंत्रित करने देता है कि उन्हें कितने समय तक रखा जाए।

एक पूर्ण KYC जाँच (दस्तावेज़, लाइवनेस और फेस मैच) की लागत $0.33 है; देखें मूल्य निर्धारण।

अनुच्छेद 77 की तैयारी: हमारा AMLR पेज देखें।

अक्सर पूछे जाने वाले प्रश्न

स्रोत

1. Resoconto stenografico, seduta n. 711, interpellanza urgente n. 2-00925, Camera dei deputati, 18 सितंबर 2026।
2. Resoconto stenografico, seduta n. 717, interrogazione n. 3-02906, Camera dei deputati, 30 सितंबर 2026।
3. Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex, अनुच्छेद 4(12), 5(1), 32, 33 और 34।
4. UK GDPR, अनुच्छेद 33, legislation.gov.uk।
5. Regulation (EU) 2024/1624 (AMLR), EUR-Lex, अनुच्छेद 77, 78 और 90।
6. Directive (EU) 2015/849 (AMLD4), समेकित पाठ, EUR-Lex, अनुच्छेद 40 और 41।
7. Money Laundering Regulations 2017, विनियम 40, legislation.gov.uk।
8. धोखाधड़ी वाले आपातकालीन डेटा अनुरोधों पर Private Industry Notification 20241104-001, FBI, 4 नवंबर 2024।
9. कानून प्रवर्तन प्राधिकरणों के साथ व्यक्तिगत डेटा साझा करना, Information Commissioner's Office, 29 सितंबर 2023 को अद्यतन, समीक्षाधीन।
10. ग्राहक गोपनीयता सूचना, Revolut, 1 जनवरी 2025 से प्रभावी।
11. समाचार सूची, State Data Protection Inspectorate of Lithuania (VDAI), 6 अक्टूबर 2026 को जांचा गया।
12. Revolut ने फर्जी सरकारी अनुरोधों के बाद संवेदनशील ग्राहक डेटा उल्लंघन की पुष्टि की, Reuters, 12 सितंबर 2026।
13. Revolut ने फर्जी सरकारी अनुरोधों के जरिए ग्राहक डेटा उल्लंघन की पुष्टि की, TechCrunch, 12 सितंबर 2026।
14. Revolut ने सरकारी ईमेल खाते का उपयोग करने वाले धोखेबाजों को ग्राहक डेटा सौंप दिया, The Record, 14 सितंबर 2026।
15. Revolut ने फर्जी आधिकारिक अनुरोध से जुड़े डेटा उल्लंघन का खुलासा किया, BankInfoSecurity, 14 सितंबर 2026।
16. Revolut हैकरों ने लगभग 700 ग्राहकों का निजी डेटा चुराया, City AM, 15 सितंबर 2026।
17. हैकरों का कहना है कि उन्होंने Revolut के 'क्रिप्टो व्हेल' को निशाना बनाने के लिए इतालवी सरकारी ईमेल में सेंध लगाई, Financial Times, 15 सितंबर 2026।
18. Revolut का कहना है कि कथित डेटा उल्लंघन को लेकर उसे कोई सीधी मांग प्राप्त नहीं हुई, Reuters, 16 सितंबर 2026।
19. धोखाधड़ी वाले सरकारी ईमेल के सुरक्षा जांच पार करने के बाद Revolut ने KYC डेटा उजागर किया, Security Affairs, 12 सितंबर 2026।
20. L'Autorità Garante della Privacy e il caso Revolut, Garante per la protezione dei dati personali, 18 सितंबर 2026 की समाचार प्रविष्टि (doc. web 10297881)।

AML नियम अपने दायरे में आने वाली फर्मों से KYC फाइल रखने की अपेक्षा करते हैं। फर्म के नियंत्रण में यह है कि उसे कौन मांग सकता है, कितना डेटा बाहर जाता है और वह कितने समय तक रखा जाता है। उस फाइल के सत्यापन पक्ष के लिए देखें Didit के साथ पहचान सत्यापन।