Co víme o zveřejnění dat zákazníků Revolutu a údajném výkupném 3 miliony dolarů

Revolut potvrdil, že citlivé informace o zákaznících byly předány neoprávněné třetí straně poté, co firma obdržela podvodné žádosti zaslané z legitimní e-mailové domény státního úřadu. Společnost incident popisuje jako externí podvod založený na vydávání se za jiný subjekt a sociálním inženýrství, nikoli jako potvrzené napadení svých klíčových systémů. 12

Případ doprovází veřejně zveřejněný požadavek na výkupné od skupiny používající označení „iamnotavillain“. Zásadní výhrada ale zní: Revolut agentuře Reuters sdělil, že od lidí, kteří se k odpovědnosti hlásí, neobdržel žádný přímý kontakt ani požadavek na výkupné. 2

Co Revolut potvrdil

Podle vyjádření Revolutu citovaného agenturou Reuters podvodníci využili legitimní e-mailovou doménu státní instituce k zaslání klamavých žádostí o informace o zákaznících. Revolut následně předal citlivé údaje neoprávněné třetí straně, než podvod odhalil. 1

Firma uvedla, že dotčené zákazníky informovala, a zpočátku jejich počet označila za „velmi omezený“. Reuters později napsal, že se incident podle dostupných informací týkal zhruba 680 zákazníků; Revolut toto číslo ve svém prvním veřejném prohlášení nezveřejnil. 12

Z oznámení zaslaných dotčeným zákazníkům vyplývá, že zveřejněné údaje mohly zahrnovat identifikační a kontaktní údaje — například datum narození, adresu, telefonní číslo nebo kopie dokladů totožnosti. TechCrunch uvedl, že mezi daty mohly být také ověřovací selfie, výpisy z účtů a další materiály související s účtem. 5

Byla napadena infrastruktura Revolutu?

Podle vyjádření Revolutu a podle zdroje obeznámeného s případem, kterého citoval Reuters, nebyla napadena hlavní infrastruktura Revolutu, jeho databáze ani zákaznické účty. Revolut rovněž uvedl, že jeho systémy a prostředky zákazníků zůstaly nedotčeny. 12

Toto rozlišení je podstatné. Potvrzenou událostí je předání dat vyvolané podvodnými žádostmi, nikoli potvrzený technický průnik do účtových systémů či databází. Veřejně dostupné informace nezávisle nepotvrzují každý technický detail incidentu, a jeho skutečný rozsah proto nelze nadsazovat. 12

Údajný požadavek na 3 miliony dolarů

Financial Times podle Reuters informoval, že aktéři hlásící se k odpovědnosti pohrozili prodejem důvěrných záznamů stovek zákazníků Revolutu jiným zločineckým skupinám, pokud firma do 24 hodin nezaplatí 3 miliony dolarů. 2

Další zprávy uvádějí požadovanou částku jako 6 000 Monero (XMR), tehdy zhruba v hodnotě 3 milionů dolarů, a domnělého útočníka označují jako „iamnotavillain“. Skupina údajně zveřejnila ultimátum s odpočítáváním a tvrdila, že žádné vyjednávání neproběhlo. 46

Jde však o tvrzení samotných údajných útočníků nebo o informace jim připisované. Neprokazují, že identita skupiny je pravá, že drží veškeré záznamy, které uvádí, ani že dokáže hrozbu prodeje uskutečnit. Vyjádření Revolutu, že neobdržel přímý požadavek, přináší další nejistotu ohledně skutečného statusu veřejného ultimáta. 26

Co je potvrzené a co zatím ne

Podložené vyjádřením Revolutu a významnými médii

• Podvodné žádosti z legitimní e-mailové domény státního úřadu vedly k neoprávněnému předání citlivých zákaznických informací. 1
• Revolut říká, že jeho systémy a prostředky zákazníků zůstaly nedotčeny. 1
• Reuters uvedl, že Revolut neměl s údajnými pachateli přímý kontakt a neobdržel od nich požadavek na výkupné. 2
• Zprávy odhadují počet dotčených zákazníků přibližně na 680. 24

Neověřené nebo závislé na tvrzeních údajných útočníků

• Zda je „iamnotavillain“ skutečně osoba či skupina stojící za předáním dat. 26
• Zda skupina drží kompletní soubor záznamů, který tvrdí, že má. 26
• Zda byla některá data prodána, sdílena nebo jinak využita dalšími zločineckými skupinami. 2
• Úplný technický a provozní řetězec okolností, kvůli němuž podvodné žádosti působily důvěryhodně. 12

Shrnutí

Dostupné důkazy podporují užší, ale vážný závěr: Revolut předal citlivá data zákazníků poté, co byl oklamán podvodnými žádostmi, jež vypadaly, že přišly z legitimní vládní e-mailové domény. Revolut odmítá, že by došlo k narušení jeho hlavní infrastruktury či zákaznických účtů. 12

Požadavek na 3 miliony dolarů v Moneru, 24hodinová lhůta, odpočítávání i označení „iamnotavillain“ byly veřejně popsány, nadále však jde o tvrzení spojovaná s údajnými útočníky. Dokud je nezávisle nepotvrdí důvěryhodné zdroje, je nutné je oddělovat od samotného úniku dat, který Revolut potvrdil. 26