Acest material pornește de la o propunere de articol/pont primită pe adresa redacției SPY Media News. Redacția a verificat independent elementele care pot fi documentate și a separat faptele verificabile de interpretările expeditorului.
Redacția deține și o înregistrare video realizată prin parcurgerea profilului public indicat în sesizare, în care sunt vizibile postările muzicale semnalate. Existența postărilor este tratată separat de orice interpretare a conținutului lor.
De unde a pornit verificarea
Sesizarea indică un profil public atribuit lui Nicu Olaru pe care apar postări cu piese hip-hop ale căror versuri includ, între altele, referiri la bani, „combinații”, „țepe”, offshore-uri, droguri și vulgaritate. Redacția a verificat vizual materialul semnalat și deține o înregistrare video a parcurgerii profilului public în care sunt vizibile postările respective.
Faptul documentabil este existența postărilor. Interpretarea lor este o chestiune distinctă. Versurile aparțin artiștilor și nu pot fi atribuite automat persoanei care a distribuit melodiile. Întrebarea editorială este alta: într-o funcție sensibilă din zona AML, ce cuprinde verificarea reputațională și ce criterii consideră instituția relevante?
Prima corecție: Deputy MLRO nu este același lucru cu MLRO
Profilul profesional public indexat al lui Nicu Olaru îl prezintă ca Deputy Money Laundering Reporting Officer la Revolut, în România, din mai 2025. Același profil indică experiență anterioară în compliance și KYC/AML/CFT la Allianz Services, First Bank și ING România.
Pontul îl descrie, în schimb, drept MLRO și îi atribuie personal competențe precum blocarea conturilor, raportarea tranzacțiilor și reprezentarea băncii în relația cu BNR. Sursele publice verificate nu ne permit să atribuim personal aceste competențe lui Nicu Olaru. Împărțirea exactă a atribuțiilor în interiorul Revolut nu este publică.
Există însă o obligație legală reală de verificare la angajare
Art. 24 alin. (4) din Legea nr. 129/2019, în forma actualizată, obligă entitățile raportoare să realizeze procesul de verificare la angajare pentru persoanele cu responsabilități în aplicarea legislației AML/CFT, conform reglementărilor sau instrucțiunilor sectoriale. Pentru instituțiile de credit și instituțiile financiare, alin. (6) impune standarde adecvate în recrutarea personalului cu asemenea responsabilități și instruire periodică.
Autoritatea Bancară Europeană are, la rândul său, ghiduri în vigoare privind rolul, responsabilitățile și guvernanța funcției AML/CFT. Acestea pun accent pe calificare, senioritate suficientă și mecanisme interne solide.
Da: există obligații legale privind verificarea și recrutarea personalului AML.
Nu: textele publice consultate nu spun că o bancă trebuie să respingă un candidat pentru muzică explicită sau satirică distribuită pe un profil personal.
Necunoscut public: ce verificări concrete a efectuat Revolut în acest caz, ce criterii reputaționale a aplicat și dacă materialele publice semnalate au făcut parte din evaluare. Acestea sunt întrebări pentru instituție, nu concluzii pe care redacția le poate presupune.
Întrebarea jurnalistică rămâne
O instituție financiară poate avea politici reputaționale mai ample decât minimul impus de lege. Dar existența și criteriile lor trebuie demonstrate, nu presupuse. Întrebarea relevantă nu este „ce muzică are voie să asculte un specialist AML?”, ci ce standarde aplică instituția persoanelor aflate în funcții sensibile și dacă acestea sunt aplicate consecvent.
Revolut România și supravegherea locală
Revolut Bank UAB Vilnius Sucursala București este sucursala română a Revolut Bank UAB și figurează, potrivit documentelor publice Revolut, în registrul BNR al sucursalelor instituțiilor de credit din alte state membre. Revolut arată că, după migrarea conturilor locale, acestea sunt supuse legislației bancare românești și cerințelor locale AML.
Legea nr. 129/2019 atribuie BNR competențe de supraveghere și control, pe bază de risc, asupra instituțiilor de credit și sucursalelor instituțiilor de credit străine cu prezență fizică în România.
Nu vorbim despre o banală scurgere de date. Cum au ajuns informații sensibile la persoane neautorizate?
Incidentul confirmat de Revolut în septembrie 2026 ridică o problemă care depășește formula potrivit căreia sistemele interne și fondurile clienților nu ar fi fost compromise.
Problema esențială este că informații sensibile ale unor clienți au fost efectiv comunicate unei terțe părți neautorizate. Potrivit Reuters și TechCrunch, solicitările frauduloase păreau să provină printr-un domeniu de e-mail al unei agenții guvernamentale legitime, iar Revolut a ajuns să furnizeze date în baza acelor solicitări.
TechCrunch, care spune că a consultat notificarea transmisă de Revolut persoanelor afectate, relatează că datele expuse au inclus informații de identitate și contact — data nașterii, adrese poștale și de e-mail, numere de telefon — precum și copii ale unor documente de identitate, inclusiv pașapoarte și permise de conducere. În funcție de client, notificarea arăta că puteau fi incluse și selfie-uri de verificare, extrase de cont și istoricul tranzacțiilor.
Cum a fost posibil ca o solicitare frauduloasă să treacă de mecanismele de verificare și să conducă la furnizarea unor asemenea date?
Cine a verificat autenticitatea solicitării? Ce nivel de aprobare era necesar? A existat o verificare independentă printr-un al doilea canal? Cine putea opri transmiterea datelor?
Aceste întrebări sunt cu atât mai importante cu cât Reuters a relatat ulterior despre o presupusă cerere de răscumpărare de 3 milioane de dolari, iar persoanele care au revendicat incidentul ar fi amenințat că vor vinde datele către grupări criminale. Revolut a declarat că nu primise direct o cerere de răscumpărare din partea grupului.
The Guardian a relatat că incidentul ar fi vizat aproximativ 680 de clienți din zona crypto și a prezentat inclusiv cazul unei persoane afectate care și-a exprimat temerea pentru propria siguranță după expunerea adresei personale.
Într-un asemenea context, faptul că banii din conturi nu au fost furați în cadrul incidentului nu epuizează problema. Documentele de identitate, adresele, istoricul financiar și materialele de verificare a identității pot avea valoare pentru fraude ulterioare, furt de identitate, inginerie socială sau tentative de extorcare.
Selfie-uri de verificare și documente de identitate: ce date au fost, de fapt, expuse?
Aici este necesară precizie. Presa relatează despre selfie-uri utilizate pentru verificarea identității. SPY Media News nu le califică automat drept „date biometrice” în sensul juridic al GDPR, deoarece această calificare depinde de modul concret în care imaginile au fost prelucrate.
Dar întrebarea pentru Revolut și pentru autoritățile de protecție a datelor rămâne: au fost compromise șabloane biometrice sau alte rezultate ale procesării biometrice, ori numai imaginile utilizate în procedura de verificare? Publicul are dreptul la un răspuns precis.
Unde sunt autoritățile și cine verifică amploarea reală?
Revolut a declarat că a informat agenția guvernamentală vizată, autoritățile de aplicare a legii și autoritățile de reglementare relevante. Dar pentru clienții din România rămân întrebări concrete.
ANSPDCP: există persoane din România afectate și a fost autoritatea română informată ori implicată prin mecanismele europene de cooperare în materie de protecția datelor?
BNR: a solicitat explicații sau a inițiat verificări, în limitele competențelor sale, privind mecanismele de control relevante pentru activitatea sucursalei din România?
Autoritățile competente în criminalitate informatică și securitate cibernetică: există victime sau elemente ale incidentului care privesc România și ce măsuri de protecție sunt necesare?
Parlamentul: consideră comisiile competente necesară solicitarea de informații sau audierea autorităților de supraveghere pentru a clarifica protecția clienților români?
La momentul documentării, SPY Media News nu a identificat un anunț public al unei autorități române care să stabilească numărul clienților din România afectați sau rezultatul unei investigații românești privind acest incident. Absența unui anunț public nu înseamnă că nu există verificări nepublice; înseamnă însă că publicul nu are încă aceste răspunsuri.
Considerăm de interes public ca autoritățile competente să clarifice câți clienți din România au fost afectați, ce categorii exacte de date au fost divulgate, prin ce procedură au fost validate solicitările frauduloase și ce măsuri au fost dispuse pentru protejarea persoanelor vizate.
Solicităm, de asemenea, clarificarea publică a responsabilităților din circuitul intern de verificare, aprobare și escaladare a unor asemenea solicitări și dacă incidentul a determinat controale, audituri ori modificări ale procedurilor.
Și unde se află Deputy MLRO în acest circuit?
În acest tablou apare firesc și întrebarea privind responsabilitățile interne. Nicu Olaru este prezentat public profesional drept Deputy MLRO.
A avut această funcție vreun rol în verificarea, aprobarea, escaladarea sau controlul solicitărilor care au condus la divulgarea datelor?
A avut Nicu Olaru personal vreo atribuție ori implicare în legătură cu incidentul sau cu procedurile interne relevante?
Dacă nu, ce structură și ce funcții aveau responsabilitatea? Dacă da, care a fost concret rolul lor?
Sursele publice consultate nu oferă aceste răspunsuri. SPY Media News nu transformă întrebările în acuzații, dar nici nu poate răspunde în locul Revolut. Sunt chestiuni pe care compania le poate lămuri public.
Întrebările pentru Revolut
1. Ce standarde de verificare la angajare aplică sucursala din România personalului cu responsabilități AML/CFT?
2. Include procesul o evaluare reputațională a informațiilor publice asociate candidatului?
3. Au fost cunoscute și analizate postările publice semnalate redacției înainte sau după numirea lui Nicu Olaru?
4. Care este rolul exact al Deputy MLRO în structura locală și ce atribuții are în raport cu solicitările externe privind datele clienților?
5. A avut Nicu Olaru vreo atribuție, implicare sau responsabilitate în legătură cu incidentul de date din septembrie 2026 ori cu procedurile interne relevante pentru acesta?
6. A declanșat incidentul o reevaluare a procedurilor, controalelor sau responsabilităților din zona AML/compliance?
7. Există reevaluări periodice ale persoanelor aflate în funcții sensibile și, dacă da, ce dimensiuni reputaționale sunt avute în vedere?
Ce rămâne de lămurit
Verificarea redacției confirmă două elemente relevante pentru interesul public: există postările publice semnalate, iar legislația impune verificări la angajare și standarde adecvate pentru personalul cu responsabilități AML.
Din aceste două elemente nu rezultă automat o abatere profesională și nici o legătură cu incidentul de date. Dar ele justifică întrebări concrete despre criteriile de recrutare, verificarea reputațională, atribuțiile Deputy MLRO și mecanismele de control folosite de Revolut.
În lipsa unui răspuns instituțional la aceste întrebări, SPY Media News nu va completa golurile cu presupuneri. Le pune public, astfel încât compania să poată explica, iar cititorii să poată evalua răspunsurile și faptele documentate.