Revolut-sag: Bekræftede oplysninger, påstande og ubesvarede spørgsmål

Revolut har bekræftet, at følsomme kundeoplysninger blev udleveret til en uvedkommende tredjepart, efter at virksomheden modtog falske henvendelser sendt fra et legitimt e-maildomæne tilhørende en myndighed. Virksomheden beskriver hændelsen som en ekstern efterlignings- eller social engineering-svindel – ikke som et bekræftet indbrud i dens centrale systemer. 12

Sagen har samtidig udløst et offentligt krav om løsepenge fra en gruppe, der kalder sig „iamnotavillain“. Men der er et vigtigt forbehold: Revolut har oplyst til Reuters, at selskabet ikke har modtaget direkte kontakt eller et løsepengekrav fra dem, der påstår at stå bag. 2

Det har Revolut bekræftet

Ifølge Revoluts udtalelse, som Reuters har omtalt, brugte svindlere et legitimt e-maildomæne fra en myndighed til at sende vildledende anmodninger om kundeoplysninger. Revolut udleverede derefter følsomme oplysninger til en uvedkommende part, før svindlen blev opdaget. 1

Revolut oplyser, at berørte kunder er blevet underrettet, og beskrev først antallet som „meget begrænset“. Reuters skrev senere, at hændelsen efter det oplyste omfatter omkring 680 kunder, men tallet indgik ikke i Revoluts første offentlige udtalelse. 12

Oplysninger fra meddelelser til de berørte kunder tyder på, at de eksponerede data kan omfatte identitets- og kontaktoplysninger som fødselsdatoer, adresser, telefonnumre og kopier af identitetsdokumenter. TechCrunch rapporterede, at oplysningerne også kan have omfattet verifikationsselfier, kontoudtog og andet kontorelateret materiale. 5

Blev Revoluts systemer hacket?

På baggrund af Revoluts egen redegørelse og Reuters’ oplysninger fra en kilde med kendskab til sagen blev Revoluts kerneinfrastruktur, databaser og kundekonti ikke hacket. Revolut oplyste desuden, at selskabets systemer og kundernes midler ikke var påvirket. 12

Skellet er væsentligt: Den bekræftede hændelse er en datadeling, der blev fremkaldt af falske anmodninger, ikke et bekræftet teknisk indbrud i Revoluts kontosystemer eller databaser. Den offentlige rapportering fastslår ikke uafhængigt alle tekniske detaljer, og hændelsens fulde omfang bør derfor ikke overdrives. 12

Det påståede krav på 3 mio. dollar

Financial Times rapporterede ifølge Reuters, at aktørerne, som hævder at stå bag, truede med at sælge fortrolige oplysninger om hundredvis af Revolut-kunder til kriminelle grupper, medmindre virksomheden betalte 3 mio. dollar inden for 24 timer. 2

Andre medier angiver kravet til 6.000 Monero (XMR), der på tidspunktet blev vurderet til omkring 3 mio. dollar, og identificerer den påståede aktør som „iamnotavillain“. Gruppen skulle have offentliggjort sit ultimatum online med et nedtællingsur og oplyst, at der ikke havde været forhandlinger. 46

Det er påstande fra eller om de formodede angribere. De beviser ikke, at gruppens identitet er ægte, at den har alle de registre, den hævder at ligge inde med, eller at den kan gennemføre det truede salg. Revoluts oplysning om, at selskabet ikke har modtaget et direkte krav, gør status for det offentlige ultimatum endnu mere usikker. 26

Hvad er kendt – og hvad er ikke bekræftet?

Understøttet af Revoluts udtalelse og større mediers dækning

• Falske henvendelser fra et legitimt e-maildomæne tilhørende en myndighed førte til uautoriseret udlevering af følsomme kundeoplysninger. 1
• Revolut oplyser, at selskabets systemer og kundernes midler ikke var påvirket. 1
• Reuters rapporterede, at Revolut ikke har haft direkte kontakt med eller modtaget et løsepengekrav fra de påståede gerningspersoner. 2
• Rapporteringen peger på, at cirka 680 kunder er berørt. 24

Stadig ubekræftet eller afhængigt af angribernes påstande

• Om „iamnotavillain“ faktisk er personen eller gruppen bag datadelingen. 26
• Om gruppen har hele det datasæt, den hævder at være i besiddelse af. 26
• Om data er blevet solgt, delt eller på anden måde brugt af andre kriminelle grupper. 2
• Det fulde tekniske og operationelle forløb, som gjorde de falske henvendelser troværdige. 12

Konklusion

De tilgængelige oplysninger understøtter en afgrænset, men alvorlig konklusion: Revolut udleverede følsomme kundedata efter at være blevet vildledt af falske forespørgsler, der så ud til at komme fra et legitimt myndighedsdomæne. Revolut afviser, at selskabets kerneinfrastruktur eller kundekonti blev kompromitteret. 12

Kravet på 3 mio. dollar i Monero, fristen på 24 timer, nedtællingsuret og tilskrivningen til „iamnotavillain“ er omtalt offentligt, men er fortsat anklager knyttet til de påståede angribere. Indtil påstandene er uafhængigt bekræftet, bør de holdes adskilt fra den datadeling, Revolut selv har bekræftet. 26