Uvujaji wa data wa Revolut: ombi bandia la serikali lililoripotiwa

Ilipitiwa mara ya mwisho: 6 Oktoba 2026 · Si ushauri wa kisheria

Kampuni zilizo chini ya wajibu wa kupambana na utakatishaji fedha (AML) huhifadhi faili la mjue mteja wako (KYC). Faili hilo lina nakala ya hati na taarifa za uchunguzi wa kina wa mteja zilizopatikana, na kumbukumbu za miamala.^[6][7] Faili huhifadhiwa ili mamlaka ziweze kufanya uchunguzi.^[6] Uvujaji wa data wa Revolut ulioripotiwa unaonyesha kinachoweza kutokea pale anayeomba si mamlaka.

Hakuna taarifa iliyopatikana kwenye chaneli inayomilikiwa na Revolut. Kwa hiyo maneno ya Revolut yanaonekana kama yalivyonukuliwa na chombo cha habari kilichotajwa.

Kilichotokea katika uvujaji wa data wa Revolut

Tarehe 12 Septemba 2026, Reuters iliripoti kwamba Revolut ilikuwa imethibitisha kuwa taarifa nyeti za wateja zilitolewa kwa mtu wa tatu asiye na idhini baada ya kampuni kupokea maombi ya ulaghai kutoka kikoa halali cha barua pepe cha wakala wa serikali.^[12] Msemaji wa Revolut aliiambia TechCrunch: "Hivi karibuni Revolut ilibaini ulaghai tata wa nje wa kujifanya mtu mwingine, ambapo mtu wa tatu asiye na idhini alitumia barua pepe ya kikoa halali cha wakala wa serikali kuwasilisha maombi ya ulaghai ya taarifa."^[13]

Reuters inamnukuu msemaji: "Mifumo ya Revolut na fedha za wateja hazijaathirika." Na kuhusu hatua zilizochukuliwa: "Mara tulipobaini, tulizuia anwani hiyo mara moja na kuuarifu wakala husika wa serikali pamoja na vyombo vya utekelezaji wa sheria, mamlaka za ulinzi wa data, na wadhibiti wa fedha."^[12]

Wateja walioathirika walikuwa wametumiwa notisi kwa barua pepe siku moja kabla, Ijumaa 11 Septemba, kwa mujibu wa BankInfoSecurity, ambayo mchapishaji wake alipitia barua pepe hiyo.^[15] Security Affairs inanukuu notisi: "Kwa kuwa mawasiliano hayo yalikuwa na vitambulisho halali vya uthibitishaji wa kikoa, yalitekelezwa kwa imani ya busara kwamba lilikuwa ombi halisi la wakala wa serikali."^[19]

Safu moja kwa kila chombo cha habari. Orodha hazijaunganishwa.

BankInfoSecurity inanukuu notisi ikiongeza: "Tafadhali kumbuka kwamba hakuna data ya telemetria ya kibayometriki ya uso iliyohusika au kuingiliwa."^[15]

Reuters iliripoti kwamba Revolut ilieleza idadi ya wateja kuwa "ndogo sana", na TechCrunch iliripoti kwamba ilikataa kutaja wakala huo.^[12][13] Idadi hiyo na jina la wakala vilitoka kwa serikali ya Italia. Tarehe 18 Septemba 2026, Naibu Waziri wa Mambo ya Ndani aliliambia Chamber of Deputies kwamba Revolut ilikuwa imeiarifu wakala wa kitaifa wa usalama wa mtandao wa Italia (ACN) kuhusu tukio linalowezekana tarehe 12 Septemba, na kwamba tarehe 15 Septemba ilithibitisha kuwa ilikuwa imetoa data za wateja 680, wanane kati yao wakiwa Waitaliano, na ilikuwa imewaarifu.^[1] Katika jibu hilo hilo, serikali ilisema Revolut iliripoti kuingiliwa kwa anwani ya barua pepe iliyothibitishwa (PEC) inayohusishwa na Prefettura di Reggio Calabria, ofisi ya kieneo ya Wizara ya Mambo ya Ndani.^[1]

Sheria inayohusika: kanuni za uvujaji wa data na utunzaji wa kumbukumbu za AML

Chini ya GDPR, ufichuaji usioidhinishwa unaweza kuwa uvunjaji wa usalama wa data binafsi, na Ibara za 33 na 34 zinaweka wajibu wa kutoa taarifa.^[3] Sheria za kupambana na utakatishaji fedha (AML) zinaeleza kwa nini faili hilo lipo.

Ufichuaji unaweza kuwa uvunjaji wa usalama wa data binafsi

Ibara ya 4(12) ya EU General Data Protection Regulation (GDPR) inafafanua uvunjaji wa usalama wa data binafsi kuwa unajumuisha "ufichuaji usioidhinishwa wa data binafsi, au ufikiaji usioidhinishwa wa data hiyo".^[3]

Ibara ya 33(1)Regulation (EU) 2016/679

"Endapo kutatokea uvunjaji wa usalama wa data binafsi, mdhibiti, bila kuchelewa kusiko na sababu na, inapowezekana, si zaidi ya saa 72 baada ya kufahamu kuhusu uvunjaji huo, atatoa taarifa ya uvunjaji huo kwa mamlaka ya usimamizi yenye mamlaka kwa mujibu wa Ibara ya 55, isipokuwa kama uvunjaji huo hauna uwezekano wa kusababisha hatari kwa haki na uhuru wa watu halisi."

Chanzo: EUR-Lex, Regulation (EU) 2016/679^[3]

Ibara ya 33(1) ya UK GDPR inaanza kwa maneno yale yale.^[4] Chini ya Ibara ya 34, hatari kwa watu inapokuwa na uwezekano wa kuwa kubwa, mdhibiti lazima pia awajulishe watu hao "bila kuchelewa kusiko na sababu" na "kwa lugha iliyo wazi na rahisi".^[3] Taarifa ya faragha ya wateja ya Revolut inataja Information Commissioner's Office (ICO) kama mamlaka yake ya Uingereza, na State Data Protection Inspectorate (VDAI) ya Lithuania kwa Eneo la Kiuchumi la Ulaya.^[10]

Kwa nini faili lipo: miaka mitano ya kumbukumbu za AML

Ibara ya 40 ya Fourth Anti-Money Laundering Directive (AMLD4) inazitaka kampuni zinazohusika nayo kuhifadhi nakala ya nyaraka na taarifa za uchunguzi wa kina wa mteja kwa miaka mitano baada ya uhusiano kumalizika. Lengo ni kuwezesha kitengo cha taarifa za kifedha (FIU) na mamlaka nyingine husika kuzuia, kugundua na kuchunguza utakatishaji fedha.^[6] Regulation 40 ya UK Money Laundering Regulations 2017 inaweka miaka hiyo hiyo mitano kama kiwango cha chini.^[7] Kuanzia 10 Julai 2027, Ibara ya 77 ya EU Anti-Money Laundering Regulation (AMLR) inachukua nafasi hiyo ndani ya EU.^[5]

Ibara ya 41 ya AMLD4 inasema uchakataji unaofanywa chini ya maagizo hayo unasimamiwa na GDPR.^[6] Seti zote mbili za wajibu zinatumika kwa kumbukumbu ile ile.

Mamlaka zinaweza kuomba nini

Kanuni moja ya baadaye ni mahususi. Kuanzia tarehe 10 Julai 2027, Ibara ya 78 ya AMLR itazitaka kampuni zinazohusika nayo kuwa na mifumo inayojibu, "kupitia njia salama", maswali kutoka FIU au mamlaka nyingine husika kuhusu iwapo zina au zilikuwa na uhusiano wa kibiashara na watu waliotajwa katika miaka mitano iliyopita, na kuhusu asili ya uhusiano huo.^[5] Hilo ni jukumu moja la kujibu maswali, si orodha ya kila kitu ambacho mamlaka zinaweza kupata.

Nchini Uingereza, mwongozo wa ICO, ambao sasa unapitiwa upya, unasema: "Lazima ushiriki tu data binafsi iliyowekewa kikomo kwa kile kilichoombwa na kile kilicho na busara."^[9]

Inawaathiri nani

Mnamo Novemba 2024, Federal Bureau of Investigation (FBI) ya Marekani ilionya kuhusu "mwelekeo wa anwani za barua pepe za serikali ya Marekani na za serikali za kigeni zilizoingiliwa kutumika kufanya maombi ya dharura ya data ya ulaghai kwa kampuni zilizoko Marekani".^[8]

Mfuatano wa matukio: kutoka onyo la FBI hadi bunge la Italia

1. 4 Novemba 2024Onyo la FBITaarifa kuhusu maombi ya dharura ya data ya ulaghai.^[8]
2. 12 Septemba 2026ImeripotiwaReuters inaripoti kwamba Revolut ilithibitisha ufichuaji huo.^[12]
3. 15 Septemba 2026WadhibitiCity AM inachapisha taarifa za ICO na FCA.^[16]
4. 18 Septemba 2026BungeSerikali ya Italia inathibitisha sanduku la barua pepe la wizara lililoingiliwa na wateja 680.^[1]
5. 30 Septemba 2026WaziriWaziri wa Mambo ya Ndani analiambia bunge kwamba ombi hilo lilipaswa kuthibitishwa.^[2]

Tarehe inayofuata iliyopangwa: AMLR inatumika kuanzia tarehe 10 Julai 2027.^[5]

Kile timu za uzingatiaji zinapaswa kufanya sasa

Security Affairs inanukuu notisi ya Revolut ikisema kwamba ombi hilo "lilikuwa na vitambulisho halali vya uthibitishaji wa domain".^[19] Kupita uthibitishaji wa domain hakuthibitishi kwamba mwombaji ameidhinishwa kupokea data za wateja: FBI imeeleza anwani za barua pepe za serikali zilizoingiliwa zikitumika kwa maombi ya ulaghai, na inapendekeza kuwasiliana na "mtumaji na mamlaka iliyotoa ombi" pale ombi linapoibua shaka.^[8] Hatua zilizo hapa chini ni uelewa wangu, si orodha ya mdhibiti.

• Thibitisha kila mwombaji mpya kupitia mawasiliano uliyoyapata wewe mwenyewe.
• Shiriki tu kile kilichoombwa na kilicho na busara, na uandike sababu.^[9]
• Hakikisha mkaguzi wa pili anapitia kabla nyaraka, picha za selfie au historia za miamala hazijatoka nje ya kampuni.
• Fuatilia maombi kulingana na mtumaji, ili sanduku moja la barua pepe linalouliza kuhusu wateja wengi lionekane wazi.
• Fanyeni mazoezi ya nani anaarifu mamlaka ya usimamizi: bila kuchelewa kusiko na sababu na, inapowezekana, ndani ya saa 72 tangu kufahamu.^[3]
• Futeni data binafsi kipindi cha uhifadhi cha AML kinapoisha na hakuna msingi mwingine wa kisheria unaotumika.^[6][7]

Kilicho bado wazi tarehe 6 Oktoba 2026

Kauli rasmi ya hivi karibuni ni ya tarehe 30 Septemba 2026. Waziri wa Mambo ya Ndani aliliambia Chamber of Deputies kwamba ombi lilitoka kwenye sanduku la barua la PEC lenye jina "entilocali", lililohusishwa na prefecture na baadaye ikabainika kuwa halikuwahi kutumika. Alisema kampuni ingeweza na ilipaswa kuthibitisha ombi hilo kwa uangalifu wa kiwango cha chini, kutokana na kutolingana kati ya data iliyoombwa na chanzo chake.^[2] Huo ni mtazamo wa waziri, si matokeo ya uchunguzi wa mdhibiti.

• Msemaji wa ICO aliiambia City AM tarehe 15 Septemba: "Tunaweza kuthibitisha kuwa tumepokea ripoti na tunatathmini taarifa zilizotolewa." Financial Conduct Authority (FCA) iliiambia City AM kuwa ilikuwa "ikiwasiliana na kampuni".^[16]
• Mamlaka ya ulinzi wa data ya Italia (Garante per la protezione dei dati personali) ilisema katika taarifa ya habari ya tarehe 18 Septemba 2026 kwamba iliziomba benki kuangalia ujumbe "usio wa kawaida" kutoka sanduku hilo hilo la barua, na iliiomba mamlaka mwenzake wa Lithuania kuthibitisha kama Revolut iliiarifu kuhusu uvujaji wa data.^[20]
• Ukurasa wa habari wa VDAI haukuwa na taarifa yoyote kuhusu tukio hilo ulipokaguliwa tarehe 6 Oktoba 2026.^[11]
• Nchini Italia, shauri la jinai kuhusu kuingia bila idhini katika mfumo wa kompyuta wenye maslahi ya umma limesajiliwa katika ofisi ya mwendesha mashtaka huko Reggio Calabria. Majibu hayo mawili ya bunge hayasemi jinsi sanduku la barua lilivyoingiliwa.^[1][2]
• Vyanzo vilivyopitiwa havibainishi ni mamlaka gani ya kisheria ambayo maombi yalitaja au Revolut ilifahamu lini.

Jinsi Didit inavyosaidia na faili la KYC unalohifadhi

Didit haikagui kama ombi kutoka kwa mamlaka ni la kweli, na hakuna chochote katika uthibitishaji wa utambulisho wa Didit ambacho kingezuia ombi kama hili. Kazi ya Didit iko kando yake: inaendesha ukaguzi unaounda nakala ya hati na picha ya selfie, na inakuwezesha kudhibiti muda zinavyohifadhiwa.

Ukaguzi kamili wa KYC (hati, uthibitisho wa uhai na ulinganishaji wa uso) unagharimu $0.33; angalia bei.

Kujiandaa kwa Ibara ya 77: angalia ukurasa wetu wa AMLR.

Maswali yanayoulizwa mara kwa mara

Vyanzo

1. Resoconto stenografico, seduta n. 711, interpellanza urgente n. 2-00925, Camera dei deputati, 18 Septemba 2026.
2. Resoconto stenografico, seduta n. 717, interrogazione n. 3-02906, Camera dei deputati, 30 Septemba 2026.
3. Kanuni (EU) 2016/679 (General Data Protection Regulation), EUR-Lex, Ibara 4(12), 5(1), 32, 33 na 34.
4. UK GDPR, Ibara ya 33, legislation.gov.uk.
5. Kanuni (EU) 2024/1624 (AMLR), EUR-Lex, Ibara za 77, 78 na 90.
6. Maelekezo (EU) 2015/849 (AMLD4), maandishi yaliyounganishwa, EUR-Lex, Ibara 40 na 41.
7. Money Laundering Regulations 2017, kanuni ya 40, legislation.gov.uk.
8. Private Industry Notification 20241104-001 kuhusu maombi bandia ya dharura ya data, FBI, 4 Novemba 2024.
9. Kushiriki data binafsi na mamlaka za utekelezaji wa sheria, Information Commissioner's Office, ilisasishwa 29 Septemba 2023, inapitiwa upya.
10. Customer Privacy Notice, Revolut, inatumika kuanzia 1 Januari 2025.
11. Orodha ya habari, State Data Protection Inspectorate of Lithuania (VDAI), iliangaliwa 6 Oktoba 2026.
12. Revolut yathibitisha uvujaji wa data nyeti za wateja baada ya maombi bandia ya serikali, Reuters, 12 Septemba 2026.
13. Revolut yathibitisha uvujaji wa data za wateja kupitia maombi bandia ya serikali, TechCrunch, 12 Septemba 2026.
14. Revolut ilikabidhi data za wateja kwa walaghai waliotumia akaunti ya barua pepe ya serikali, The Record, 14 Septemba 2026.
15. Revolut yafichua uvujaji wa data unaohusishwa na ombi rasmi bandia, BankInfoSecurity, 14 Septemba 2026.
16. Wadukuzi wa Revolut waliiba data binafsi za karibu wateja 700, City AM, 15 Septemba 2026.
17. Wadukuzi wasema walivunja barua pepe ya serikali ya Italia ili kuwalenga 'crypto whales' wa Revolut, Financial Times, 15 Septemba 2026.
18. Revolut yasema haijapokea dai lolote la moja kwa moja kuhusu uvujaji wa data unaodaiwa, Reuters, 16 Septemba 2026.
19. Revolut ilifichua data za KYC baada ya barua pepe bandia ya serikali kupita ukaguzi wa usalama, Security Affairs, 12 Septemba 2026.
20. L'Autorità Garante della Privacy e il caso Revolut, Garante per la protezione dei dati personali, taarifa ya habari ya tarehe 18 Septemba 2026 (doc. web 10297881).

Sheria za AML zinazitaka kampuni zinazohusika kuhifadhi faili la KYC. Kile ambacho kampuni inadhibiti ni nani anaweza kuliomba, kiasi gani cha data kinatoka, na faili linakaa kwa muda gani. Kwa upande wa uthibitishaji wa faili hilo, angalia uthibitishaji wa utambulisho na Didit.