تسريب بيانات Revolut: ما الذي تأكد بشأن طلب فدية قدره 3 ملايين دولار؟

أكدت شركة Revolut أن بيانات حساسة لعملاء كُشف عنها لطرف غير مصرح به، بعدما تلقت الشركة طلبات احتيالية للحصول على معلومات بدت وكأنها واردة من نطاق بريد إلكتروني تابع لجهة حكومية شرعية. وتصف الشركة الواقعة بأنها عملية انتحال أو هندسة اجتماعية من خارجها، لا اختراقاً مؤكداً لأنظمتها الأساسية. 12

وأعقب ذلك ادعاء علني بالفدية من جهة تستخدم اسم «iamnotavillain». لكن هناك نقطة جوهرية: قالت Revolut لوكالة رويترز إنها لم تتلقَّ اتصالاً مباشراً أو طلب فدية من الأشخاص أو المجموعة الذين يزعمون مسؤوليتهم عن الواقعة. 2

ما الذي أكدته Revolut؟

وفقاً لبيان الشركة الذي نقلته رويترز، استخدم محتالون نطاق بريد إلكتروني حقيقياً لجهة حكومية لإرسال طلبات مضللة للحصول على معلومات العملاء. واستجابت Revolut للطلبات، فأفصحت عن معلومات حساسة لطرف غير مصرح به قبل اكتشاف الاحتيال. 1

وقالت الشركة إن العملاء المتأثرين أُبلغوا، ووصفت العدد في البداية بأنه «محدود جداً». لكن رويترز أفادت لاحقاً بأن عدد المتأثرين يُفهم أنه يقارب 680 عميلاً، وهو رقم لم تكشفه Revolut في بيانها الأول. 12

وتشير تقارير استندت إلى الإشعارات المرسلة للمتضررين إلى أن البيانات المكشوفة قد تشمل معلومات الهوية والاتصال، مثل تواريخ الميلاد والعناوين وأرقام الهواتف ونسخاً من وثائق الهوية. كما ذكرت TechCrunch أن البيانات قد تشمل صور «سيلفي» مستخدمة للتحقق من الهوية، وكشوف حسابات، ومواد أخرى مرتبطة بالحساب. 5

هل تعرّضت بنية Revolut التقنية للاختراق؟

بحسب رواية Revolut وما نقلته التقارير عن مصدر مطلع، لم تُخترق البنية التحتية الأساسية للشركة ولا قواعد بياناتها ولا حسابات العملاء. كما قالت Revolut إن أنظمتها وأموال العملاء لم تتأثر. 12

وهذا التفريق مهم: الواقعة المؤكدة هي إفصاح عن بيانات نتيجة طلبات احتيالية، وليست دليلاً مؤكداً على اقتحام تقني لأنظمة الحسابات أو قواعد البيانات. ولا تتيح التقارير العلنية التحقق المستقل من جميع التفاصيل التقنية للحادثة، لذلك لا ينبغي المبالغة في وصف نطاقها. 12

ماذا عن مطالبة الـ3 ملايين دولار؟

أفادت صحيفة فايننشال تايمز، وفقاً لما نقلته رويترز، بأن الجهات التي تزعم مسؤوليتها هددت ببيع سجلات سرية لمئات من عملاء Revolut إلى جماعات إجرامية ما لم تدفع الشركة 3 ملايين دولار خلال 24 ساعة. 2

وتحدد تقارير أخرى المبلغ المطلوب بنحو 6,000 مونيرو (XMR)، بقيمة تقارب 3 ملايين دولار في ذلك الوقت، وتنسب الطلب إلى جهة تحمل اسم «iamnotavillain». وبحسب هذه التقارير، نُشر إنذار عبر الإنترنت مصحوب بعدٍّ تنازلي، مع ادعاء بأن مفاوضات لم تُجرَ. 46

لكن هذه التفاصيل تظل ادعاءات صادرة عن المهاجمين المزعومين أو منسوبة إليهم. فهي لا تثبت أن هوية الجهة حقيقية، أو أنها تملك كامل السجلات التي تدّعي حيازتها، أو أنها قادرة فعلاً على تنفيذ تهديد البيع. كما أن قول Revolut إنها لم تتلقَّ طلباً مباشراً للفدية يزيد الغموض حول وضع هذا الإنذار العلني. 26

ما المعروف وما الذي لم يُتحقق منه بعد؟

معلومات يدعمها بيان Revolut والتغطية الإخبارية الكبرى

• أدت طلبات احتيالية، أُرسلت من نطاق بريد لجهة حكومية شرعية، إلى إفصاح غير مصرح به عن بيانات عملاء حساسة. 1
• تقول Revolut إن أنظمتها وأموال العملاء لم تتأثر. 1
• ذكرت رويترز أن Revolut لم تتلقَّ اتصالاً مباشراً أو طلب فدية من الجهة المزعومة. 2
• تضع التقارير عدد العملاء المتأثرين عند نحو 680. 24

أمور لا تزال غير متحققة أو تعتمد على ادعاءات المهاجمين

• ما إذا كانت «iamnotavillain» هي بالفعل الشخص أو المجموعة التي تقف وراء الإفصاح. 26
• ما إذا كانت الجهة تملك مجموعة السجلات الكاملة التي تزعم امتلاكها. 26
• ما إذا كانت أي بيانات قد بيعت أو نُشرت أو استُخدمت من قبل جماعات إجرامية أخرى. 2
• التسلسل التقني والإجرائي الكامل الذي جعل الطلبات الاحتيالية تبدو مقنعة. 12

الخلاصة

المتاح من الأدلة يدعم استنتاجاً محدداً لكنه خطير: أفصحت Revolut عن بيانات عملاء حساسة بعدما خُدعت بطلبات احتيالية بدت صادرة عن نطاق بريد حكومي شرعي. وفي المقابل، تنفي الشركة تعرض بنيتها الأساسية أو حسابات العملاء للاختراق. 12

أما طلب فدية بقيمة 3 ملايين دولار بعملة مونيرو، والمهلة البالغة 24 ساعة، والعدّ التنازلي، وربط الأمر باسم «iamnotavillain»، فهي تفاصيل وردت علناً لكنها تبقى ادعاءات مرتبطة بالمهاجمين المزعومين. وإلى أن تُدعَم بأدلة مستقلة، ينبغي الفصل بينها وبين واقعة الإفصاح التي أكّدتها Revolut. 26