Kelompok peretas yang mengaku membobol data pelanggan Revolut membuka permainan: mereka menuntut tebusan US$3 juta dalam bentuk monero (XMR) dan memberi bank digital itu tenggat 24 jam untuk membayar. Jika tak dipenuhi, mereka mengancam menjual data curian tersebut ke kelompok kriminal lain. Permintaan itu disampaikan Rabu bersama sebuah jam hitung mundur, menurut laporan Financial Times yang dikutip CoinDesk.
Ultimatum 24 Jam dan Tebusan 6.000 XMR
Kelompok yang menyebut dirinya “iamnotavillain” meminta Revolut mengirim 6.000 XMR, dengan nilai yang mereka patok setara US$3 juta. Tenggatnya ketat: 24 jam sejak permintaan dipublikasikan. Ancaman yang menyertainya juga bukan soal teknis, melainkan soal pasar gelap — data pelanggan akan ditawarkan ke sindikat kriminal lain kalau uang tidak masuk.
Menurut para peretas kepada FT, hingga berita ini diterbitkan belum ada negosiasi apa pun dengan pihak Revolut. Artinya, tekanan utama bukan pada celah keamanan yang bisa ditambal, tapi pada nilai jual data yang sudah keluar dari sistem.
Data Apa yang Diklaim Bocor
Setidaknya 680 akun pelanggan Revolut terdampak dalam insiden ini. Untuk membuktikan klaimnya, kelompok itu mengirim rekaman layar berdurasi 60 detik ke FT. Rekaman tersebut tampak memperlihatkan sejumlah berkas, di antaranya:
- Paspor dan surat izin mengemudi (driving licence),
- foto yang dipakai untuk pemeriksaan know-your-customer (KYC),
- serta riwayat transaksi sejumlah pelanggan.
Perlu dicatat, isi rekaman itu belum diverifikasi secara independen. Sejauh pemberitaan ini, para peretas juga menyebut memilih sasarannya dengan analisis blockchain untuk menemukan akun Revolut yang menyimpan kepemilikan kripto bernilai besar — jadi bukan pembobolan acak, melainkan pembidikan ke profil yang dianggap paling mampu membayar.
Kenapa Tebusan Diminta dalam Monero
Pilihan monero bukan kebetulan. Mata uang kripto ini dirancang untuk menyamarkan detail transaksi, sehingga jejaknya jauh lebih sulit ditelusuri dibanding aset kripto yang riwayatnya terbuka untuk umum. Bagi pelaku pemerasan, kombinasi “tebusan besar” dan “sulit dilacak” adalah paket ideal: pembayaran bisa diklaim masuk, tapi penerima sulit diidentifikasi.
Permintaan 6.000 XMR itu disertai jam hitung mundur — 24 jam untuk membayar, atau data pelanggan dijual ke kelompok kriminal lain.
Yang menarik, kelompok ini justru memanfaatkan analisis blockchain untuk memilih target, sementara meminta pembayaran dalam aset yang dirancang menutupi jejak. Dua hal itu menunjukkan bahwa mereka paham betul karakter tiap jenis aset: transparan saat dipakai memburu korban, tertutup saat dipakai menerima uang.
Bagaimana Revolut Merespons
Revolut sebelumnya menyatakan ke CoinDesk bahwa pihaknya sudah memblokir alamat yang dipakai dalam permintaan data tersebut. Perusahaan juga mengaku telah memberi tahu instansi pemerintah terkait, aparat penegak hukum, dan regulator. Dalam pernyataannya, sistem dan dana pelanggan tidak terpengaruh.
Namun, hingga berita ini diterbitkan, Revolut tidak merespons permintaan komentar dari CoinDesk terkait tuntutan tebusan terbaru. Situasinya kini bergerak dari urusan keamanan internal menjadi tekanan publik: ada tenggat waktu, ada angka, dan ada ancaman yang bisa dieksekusi tanpa perlu membobol apa pun lagi.
Modus yang Dipakai: Menyamar sebagai Pejabat
Kebocoran ini tidak bermula dari peretasan teknis yang rumit. Menurut pemberitahuan yang sebelumnya dikirim ke pelanggan terdampak, penyerang menyamar sebagai pejabat pemerintah dan mengirim permintaan informasi yang lolos dari pemeriksaan Revolut. Perusahaan menyerahkan catatan pelanggan, baru kemudian menyadari bahwa permintaan itu palsu.
Ini titik paling mengganggu dari kasus ini: yang dijebol bukan enkripsi, melainkan prosedur verifikasi manusia dan alur permintaan data antarlembaga. Kepercayaan pada “yang meminta” berubah jadi titik lemah.
Apa Artinya untuk Risiko Data Fintech
Untuk industri fintech dan kripto, kasus Revolut memberi tiga pelajaran yang cukup keras. Pertama, dokumen identitas bersifat permanen — berbeda dari kata sandi, paspor dan foto KYC yang bocor tidak bisa diganti. Kedua, permintaan data resmi adalah permukaan serangan tersendiri; siapa pun yang bisa menembus lapisan verifikasi bisa membuat platform menyerahkan datanya sendiri secara sukarela. Ketiga, extortion berbasis identitas kini jadi model bisnis: nilai jualnya tidak dihitung dari besarnya sistem yang diretas, tapi dari seberapa sensitif dokumen yang bocor.
Bagi pengguna di Indonesia yang datanya tersimpan di platform pembayaran, exchange, atau e-wallet, implikasinya sederhana tapi penting: jaga asumsi bahwa dokumen identitas Anda bisa beredar. Waspadai upaya phishing lanjutan yang memakai data asli Anda agar terlihat meyakinkan, dan pantau notifikasi resmi dari platform bila ada pengumuman kebocoran data.
