Dlaczego 20 października 2026 każda karta Revolut była odrzucana? Wyjaśniamy awarię

Jeśli Twoja karta Revolut została dziś rano odrzucona, przy kasie, przy dystrybutorze paliwa lub w bankomacie, problemem nie była ani karta, ani Ty. Rankiem we wtorek 20 października 2026 Revolut doświadczył ogólnofirmowej awarii. Płatności kartą, przelewy, wypłaty z bankomatów, a nawet logowanie do aplikacji zawodziły u klientów w Wielkiej Brytanii, Francji, Hiszpanii, Niemczech i Grecji, a także w Irlandii. Revolut potwierdził zakłócenie obejmujące wiele usług i zapewnił, że pieniądze i dane wszystkich klientów są bezpieczne. Najbardziej prawdopodobnym wyzwalaczem jest awaria Google Cloud w regionie londyńskim, która zaczęła się o 06:08 UTC, czyli o 08:08 czasu paryskiego, i którą Google od tamtej pory przypisuje zdarzeniu związanemu z zasilaniem. Osoba zaznajomiona ze sprawą powiedziała agencji Reuters, że awaria Revolut miała związek z zakłóceniami Google Cloud. Żadna z firm nie potwierdziła publicznie tego związku.

Relacje na żywo mówią, że Revolut nie działa. Nie mówią jednak, w którym miejscu łańcucha płatności doszło do awarii, dlaczego bezobsługowy dystrybutor paliwa odrzuca kartę, nawet gdy kasa czasem ją przyjmuje, ani jak jeden region chmury w Londynie może zatrzymać kartę na francuskiej stacji benzynowej. Ten wpis odpowiada na te pytania, oddziela awarię od niedawnych ataków na rosyjskie centra danych i od świeżo ujawnionej luki dotyczącej maszyn wirtualnych w Linuksie oraz podpowiada, co mieć przy sobie, by pojedyncza awaria wydawcy nigdy więcej nie zostawiła Cię bez środków.

Dlaczego moja karta Revolut została odrzucona 20 października?

Ponieważ Revolut, firma zatwierdzająca każdą płatność dokonywaną jej kartami, przez kilka godzin nie mogła odpowiadać. Od około 08:00 czasu paryskiego, jak relacjonuje Clubic, aplikacja pokazywała komunikat o błędzie, karty były odrzucane w sklepach i taksówkach, a przelewy zawodziły. Revolut ma ponad 8 milionów klientów w samej Francji. Francuska prasa technologiczna donosiła o odmowach przy kasach i w bankomatach.

Własna strona statusu Revolut długo nie nadążała. O 09:42 czasu paryskiego wciąż pokazywała, że wszystkie systemy działają; później wskazała 31 usług jako częściowo niedostępnych, w tym płatności kartą, przelewy, wypłaty z bankomatów, usługi premium i logowanie. Oto jak przebiegał ten poranek.

Według stanu na 13:25 czasu paryskiego 20 października Google przypisuje awarię zdarzeniu związanemu z zasilaniem w strefie europe-west2-b, informuje, że zdarzenie związane z zasilaniem zostało opanowane, a usługi są stopniowo przywracane, ale jego incydent pozostaje otwarty, a pełny raport o incydencie nie został opublikowany. Revolut nie wydał komunikatu o przywróceniu usług i nie podał przyczyny. Zaktualizujemy ten wpis, gdy Revolut lub Google opublikują raport z analizy incydentu.

Czy zawiódł Revolut, Visa czy sklep?

Każda płatność kartą angażuje trzy strony. Terminal sklepu i jego bank (agent rozliczeniowy) odczytują kartę i wysyłają żądanie autoryzacji. Sieć kartowa, Visa, Mastercard lub CB we Francji, kieruje to żądanie dalej. Wydawca, czyli bank stojący za Twoją kartą, odpowiada tak lub nie w czasie rzeczywistym. 20 października nie znaleźliśmy żadnego incydentu zgłoszonego przez Visa, Mastercard ani CB, a żaden inny wydawca kart nie zgłaszał problemów z kartami, co według wszelkich dostępnych dowodów umiejscawia awarię po stronie Revolut jako wydawcy karty.

Awaria wydawcy to sytuacja, w której bank stojący za Twoją kartą nie może odpowiedzieć na żądanie zatwierdzenia od sieci płatniczej, więc wszystkie terminale odrzucają kartę jednocześnie, niezależnie od sklepu i kraju. Dlatego z zewnątrz ten wzorzec wyglądał tak dziwnie: karta zawodziła wszędzie naraz, podczas gdy osoba obok płaciła bez problemu.

To wyjaśnia też, dlaczego bezobsługowe dystrybutory paliwa odmawiały za każdym razem, podczas gdy kasa czasem kartę przyjmowała. Francuski całodobowy automatyczny dystrybutor, zanim podniesiesz pistolet, prosi wydawcę karty o zatwierdzenie ustalonej kwoty maksymalnej, często 100 do 150 euro, określonej przez stację, a potem zastępuje ją rzeczywistą kwotą. Ta preautoryzacja wymaga odpowiedzi wydawcy na żywo, więc gdy wydawca milczy, dystrybutor mówi nie za każdym razem. Dystrybutor uwidacznia awarię wydawcy; nie jest jej przyczyną. Jednym z możliwych wyjaśnień płatności, które jednak przeszły, jest to, że niektóre terminale potrafią zatwierdzać niewielkie kwoty offline i rozliczać je później, co może tłumaczyć, dlaczego Clubic donosił, że niektórzy klienci Revolut wciąż mogli płacić w części sklepów, podczas gdy większość kart była odrzucana.

Co Google Cloud ma wspólnego z moją kartą bankową?

Wiele banków i fintechów uruchamia dużą część swojego oprogramowania na wynajmowanej infrastrukturze chmurowej, a gdy ta infrastruktura zawodzi, ich usługi mogą zawieść razem z nią. Google podaje, że problem zaczął się o 06:08 UTC; jego pierwsza aktualizacja statusu, opublikowana o 10:35 czasu paryskiego, czyli około dwie i pół godziny później, informowała o podwyższonym poziomie błędów i przerywanych awariach sieci w europe-west2, regionie londyńskim. Dla posiadacza karty ta przerwa miała znaczenie. Przez około dwie i pół godziny strona statusu Google milczała, a o 09:42 czasu paryskiego strona Revolut wciąż pokazywała, że wszystkie systemy działają. The Register zauważa, że europe-west2-b to jedna z trzech stref dostępności w tym regionie. Strona incydentu Google wymienia 38 dotkniętych produktów, w tym Kubernetes Engine, Cloud Run i BigQuery Data Transfer Service, a Google opublikowało przeprosiny dla wszystkich poszkodowanych. O 13:12 czasu paryskiego Google podało pierwszą przyczynę: „Z powodu zdarzenia związanego z zasilaniem doszło u nas do awarii w strefie europe-west2-b. Zdarzenie związane z zasilaniem zostało opanowane", głosi aktualizacja, a usługi są stopniowo przywracane. Oświadczenie Google dotyczy jego własnej strefy i nie wspomina o Revolut. Inne regiony Google w Europie, w tym Paryż i Frankfurt, nie zgłaszały problemów.

Związek z Revolut pozostaje przypisywany, nie potwierdzony. Osoba zaznajomiona ze sprawą powiedziała agencji Reuters, że awaria Revolut miała związek z zakłóceniami Google Cloud, a własne oświadczenia Revolut nie wspominają o Google. The Journal podał, że zakłócenie ma, jak się przyjmuje, wynikać z awarii u zewnętrznego dostawcy, nie wskazując żadnego z nazwy. Tego samego ranka Downdetector UK pokazywał skoki zgłoszeń dla Lloyds, Halifax, Bank of Scotland, HSBC, NatWest, Santander UK i MBNA, a także dla Royal Mail, Rightmove i GOV.UK, podczas gdy klienci ING Germany mieli problemy z logowaniem do bankowości internetowej i aplikacji. Nikt oficjalnie nie powiązał tych zgłoszeń z Google Cloud, a skoki na Downdetector potrafią mylić, bo zaniepokojeni użytkownicy sprawdzają usługi, które w rzeczywistości działają.

Cokolwiek powie ostateczny raport, kształt tego zdarzenia jest znajomy. We wrześniu, gdy ChatGPT, Claude i Grok zawiodły jednocześnie, pierwszym podejrzanym była wspólna chmura, która okazała się nie być przyczyną; tym razem pojedynczy region chmury jest wiodącym wyjaśnieniem, choć wciąż niepotwierdzonym. Gdy wiele firm wynajmuje ten sam budynek, jedna usterka w tym budynku może stać się naraz usterką wszystkich, a tym razem usługą, o którą chodziło, była karta w Twojej kieszeni.

Czy to był cyberatak albo coś związanego z atakami na rosyjskie centra danych?

Nie, w świetle dostępnych dowodów. Od 8 października 2026 ukraińskie drony uderzały w centra danych Yandex w Sasowie, Kałudze i Władimirze, zakłócając usługi Yandex w Rosji i krajach sąsiednich; te ataki opisaliśmy szczegółowo tutaj. Relacje o tych atakach nie wspominają o żadnym wpływie na europejskie banki, płatności kartą ani zachodnich dostawców chmury. Revolut nie działa w Rosji. Awaria Revolut zbiegła się w czasie z problemem obiektu Google w Londynie i żadne źródło nie łączy tych dwóch zdarzeń. Rymują się tylko w jednym: oba pokazują, że krytyczne usługi mieszczą się w niewielkiej liczbie fizycznych budynków. Ale jedno to uderzenie wojskowe w infrastrukturę, a drugie to zwyczajna awaria chmury, i mylenie ich nikomu nie pomaga.

Nic też nie wskazuje na włamanie. Żadne źródło nie informuje o intruzji, Revolut zapewnia, że pieniądze i dane klientów są bezpieczne, a aplikacja budżetowa Emma, również dotknięta tego ranka, opisała swój problem jako usterkę techniczną, a nie naruszenie bezpieczeństwa. Cyberataku nie można formalnie wykluczyć, dopóki nie pojawi się raport z analizy incydentu, ale wszystko, co dziś widać, wskazuje na incydent chmurowy, nie atak, a samo Google przypisuje obecnie swoją londyńską awarię zdarzeniu związanemu z zasilaniem w strefie europe-west2-b, choć jego pełny raport o incydencie dopiero się ukaże.

Czy to luka PwnEscape w Linuksie, czy część serii awarii chmury?

Drugie pytanie zasługuje na takie samo potraktowanie. Czy mogła za tym stać świeżo ujawniona luka w Linuksie? 15 października 2026, pięć dni przed awarią, zespół CVE jądra Linuksa opublikował CVE-2026-99999, nazwaną PwnEscape, krytyczną lukę w kodzie sieciowym jądra, w obsłudze sum kontrolnych IPv4, ocenioną na 9,3 na 10 w skali CVSS 3.1. Ocena jest wysoka ze względu na to, co ten błąd umożliwia. Złośliwa gościnna maszyna wirtualna może wysyłać spreparowane pakiety sieciowe, które uszkadzają jądro maszyny-hosta, na której działa, a badacze zademonstrowali wycieki pamięci hosta, awarie hosta i uruchamianie kodu jako root na hoście, we własnym laboratorium. Luka tkwi w stosie sieciowym Linuksa obsługującym ruch gości, a nie w jednym konkretnym hipernadzorcy.

Samo odkrycie przebiegło w uporządkowany sposób. Zespół badawczy PWN.AI znalazł błąd podczas konkursu bezpieczeństwa sandboksa organizowanego przez Vercel, zgłosił go prywatnie opiekunom jądra 4 września, a poprawka trafiła do głównego jądra Linuksa 14 października. Co ważniejsze, nie zgłoszono żadnego wykorzystania luki w realnych atakach. Ocena CISA z 16 października, odnotowana we wpisie CVE, stwierdza „Exploitation: none", a luka nie figuruje w katalogu znanych wykorzystywanych podatności CISA. Google nie opublikowało na jej temat żadnego biuletynu bezpieczeństwa, a jego biuletyny do 19 października o niej nie wspominają. Google przypisuje londyńską awarię zdarzeniu związanemu z zasilaniem w strefie europe-west2-b, oświadczenia Revolut nie wspominają ani o Google, ani o żadnej podatności, a Emma opisała swój problem jako usterkę techniczną, a nie naruszenie bezpieczeństwa. Żadne wiarygodne źródło nie łączy PwnEscape z tą awarią.

Tło jest jednak realne. Ta jesień przyniosła serię dużych incydentów chmurowych. 1 września kable światłowodowe odłączone podczas rutynowej konserwacji routerów odizolowały części dwóch stref w regionie us-central1 Google Cloud w Iowa na około cztery godziny, od 07:41 do 11:52 czasu pacyficznego w USA, dotykając 16 produktów. Od 30 września do 1 października usługi bramek Microsoft Azure, w tym ExpressRoute, VPN Gateway, Azure Firewall, Application Gateway i Azure VMware Solution, były zakłócone w 18 regionach od 20:30 UTC, a Microsoft wskazał na korelację z pracami serwisowymi systemu operacyjnego infrastruktury. 8 i 9 października aktualizacja konfiguracji równoważenia obciążenia przeciążyła węzły Google Cloud Storage w us-central1, powodując błędy zapisu łącznie przez około 18 godzin w ciągu dwóch dni.

Z tych raportów płynie uczciwy wniosek. Seria incydentów jest realna i pokazuje, jak wiele zależy od garstki dostawców, ale podawane przyczyny to prace konserwacyjne, zmiany konfiguracji i kwestie pojemności, a żaden z tych raportów nie wspomina o ataku ani o podatności. Londyńska awaria pasuje teraz do tego wzorca: Google przypisuje ją zdarzeniu związanemu z zasilaniem, kolejnej przyczynie niebędącej atakiem, choć jego pełny raport o incydencie wciąż czeka na publikację.

Dlaczego po awariach pojawiają się wiadomości phishingowe?

Ponieważ awaria wręcza oszustom gotową historię. Tysiące osób właśnie doświadczyło odrzucenia karty, jest zaniepokojonych i czeka na wiadomość od swojego banku. Fałszywy SMS informujący, że Twoja karta została zawieszona, z linkiem do weryfikacji danych, jest w taki dzień jak dziś znacznie bardziej wiarygodny niż w zwykły wtorek. W najbliższych dniach spodziewaj się ich fali, przez SMS, e-mail i telefon.

Jest powód, by w przypadku Revolut potraktować to szczególnie poważnie. We wrześniu 2026 napastnik podszywający się pod włoski organ rządowy, piszący z legalnej domeny rządowej, uzyskał dane około 650 klientów, w tym dokumenty tożsamości, zdjęcia, wyciągi z kont i historie transakcji. Revolut nazwał to wyrafinowanym zewnętrznym oszustwem polegającym na podszywaniu się, oświadczył, że jego systemy i środki klientów nie zostały naruszone, i skontaktował się z poszkodowanymi. Ten wyciek nie jest powiązany z awarią z 20 października, ale oznacza, że prawdziwe dane części klientów są w obiegu, przez co wiadomość phishingowa może wyglądać przekonująco osobiście.

Żaden prawdziwy pracownik pomocy banku nie potrzebuje Twojego PIN-u, haseł, kodów jednorazowych ani danych karty i żaden nie poprosi o zatwierdzenie czegoś w aplikacji dlatego, że to on zadzwonił; w razie wątpliwości rozłącz się i skontaktuj z bankiem przez aplikację. Nie klikaj linków w wiadomościach o awarii; otwórz aplikację bezpośrednio i przeczytaj jej komunikaty. Jako dodatkowe zabezpieczenie Threat Protection od Le VPN blokuje znane domeny phishingowe i złośliwe, zanim się załadują. Nie powstrzyma nadejścia SMS-a ani nie wychwyci każdej zupełnie nowej domeny oszustów, więc pierwszą linią obrony pozostaje Twój własny sceptycyzm.

Jak nie utknąć następnym razem?

Nie zapobiegniesz kolejnej awarii Revolut, ale możesz sprawić, że będzie dla Ciebie niegroźnym epizodem.

• Noś przy sobie drugą kartę od innego wydawcy. Druga karta Revolut zawodzi razem z pierwszą. Dla mieszkańców Francji dobrym uzupełnieniem jest karta francuskiego banku w sieci CB, bo zatwierdza ją inny wydawca.
• Miej przy sobie trochę gotówki. Tyle, by starczyło na paliwo i jedzenie. Wypłaty z bankomatów w Revolut też nie działały, więc czas na wypłatę jest przed awarią, nie w jej trakcie.
• Na stacji benzynowej warto spróbować w kasie z obsługą zamiast przy automatycznym dystrybutorze podczas awarii wydawcy, choć tam również może dojść do odmowy.
• Najpierw sprawdź stronę statusu i komunikaty w aplikacji. Zanim założysz, że karta jest zablokowana lub przejęta, sprawdź, czy wydawca zgłasza incydent. Revolut wymienia też zwykłe powody odmowy, takie jak zamrożona karta, limit wydatków, oczekujące potwierdzenie 3-D Secure lub wyłączony typ płatności, a konkretny powód widać w aplikacji.
• Nie zamrażaj, nie anuluj i nie resetuj karty w panice. Podczas awarii wydawcy niczego to nie zmienia, a anulowana karta oznacza czekanie na nową po przywróceniu usług.
• Nigdy nie podawaj danych nikomu, kto sam się z Tobą kontaktuje, podając się za pomoc Revolut, zwłaszcza w taki dzień jak dziś.
• Zachowaj zrzuty ekranu ze znacznikami czasu odrzuconych płatności i nieudanych przelewów, jeśli naraziły Cię na koszty, i zgłoś to do pomocy Revolut przez aplikację po przywróceniu usług.

Jedną rzeczą, która by nie pomogła, jest VPN, a mówimy to jako dostawca VPN. Autoryzacja karty przebiega między terminalem, siecią kartową i wydawcą; Twoje własne połączenie, z francuskim serwerem VPN czy bez niego, nie ma żadnego wpływu na to, czy płatność zostanie zatwierdzona. VPN chroni Twój ruch i, dzięki Threat Protection, odfiltrowuje wiele domen oszustów, które pojawiają się po takim dniu. Nie utrzyma jednak banku w działaniu.

Google podało pierwszą przyczynę, zdarzenie związane z zasilaniem w swojej strefie europe-west2-b, ale pełny raport o incydencie dopiero się ukaże. Gdy się pojawi, warto obserwować trzy rzeczy: co dokładnie zdarzenie związane z zasilaniem wyłączyło z działania, czy Revolut własnymi słowami potwierdzi związek z Google Cloud, i dlaczego jego strona statusu pokazywała, że wszystkie systemy działają, podczas gdy karty były już odrzucane przy kasach w całej Europie.