Revolut udleverede kundedata efter falske myndighedshenvendelser

Revolut oplyser, at en uvedkommende fik adgang til følsomme kundeoplysninger, efter at virksomheden reagerede på svigagtige anmodninger sendt fra en legitim myndigheds-e-mailadresse. Afsløringen den 12. september er bemærkelsesværdig, fordi angriberne tilsyneladende ikke behøvede at bryde ind i Revoluts kernesystemer. I stedet udnyttede de tilliden til en kanal, der fremstod officiel.

Revolut siger, at berørte kunder er blevet kontaktet, og at hverken kundemidler eller virksomhedens systemer blev påvirket. 134

Det har Revolut bekræftet

Revolut bekræftede, at svigagtige informationsanmodninger kom fra en e-mailadresse på et legitimt myndighedsdomæne, og at det førte til, at kundeoplysninger blev videregivet til en uvedkommende. Selskabet kalder hændelsen et "sofistikeret eksternt impersoneringssvindelnummer", oplyser at adressen blev blokeret efter opdagelsen, og at relevante myndigheder blev underrettet. 13448

Skellet er vigtigt: Den tilgængelige rapportering fastslår ikke, at angribere brød ind i Revoluts centrale bankinfrastruktur eller fik adgang til kunders penge. Den fastslår derimod, at en proces for håndtering af følsomme eksterne anmodninger blev narret. 134

Sådan fungerede efterligningen angiveligt

Det bekræftede forhold er afgrænset, men alvorligt: Anmodningerne blev sendt fra en reel myndigheds-e-mailadresse. Et teknisk autentisk afsenderdomæne kan få en falsk anmodning til at ligne en rutinesag – særligt når medarbejdere skal behandle juridiske anmodninger eller forespørgsler fra myndigheder hurtigt. 135

Senere omtale har kædet afsenderen sammen med Italiens PEC-infrastruktur for certificeret e-mail og Indenrigsministeriets domæne pec.interno.it. Den tilknytning er ikke uafhængigt bekræftet af Revolut eller italienske myndigheder i det foreliggende materiale. Den bør derfor ses som et rapporteret spor, ikke som en fastslået beskrivelse af angrebet. 37

Den bredere lære er, at et ægte e-maildomæne ikke i sig selv er tilstrækkeligt bevis for, at et krav om meget følsomme data er legitimt. Anmodningen bør kontrolleres ad en uafhængig, kendt kontaktvej til myndigheden og løftes til yderligere godkendelse, før oplysninger udleveres.

Hvor mange er berørt?

Revolut oplyste først, at bruddet ramte et "meget begrænset" antal kunder, uden at angive et tal. 1

Senere rapportering anslog antallet til omkring 680 kunder globalt, herunder 12 irske kunder. Revolut havde ikke selv offentligt bekræftet tallet i sin første udtalelse, så det bør forstås som et rapporteret estimat – ikke som et tal virksomheden direkte har offentliggjort. 33

Rapporter har også viderebragt en påstand fra angriberne om, at operationen involverede adgang til italienske retshåndhævende systemer i cirka seks måneder. Det er en ubekræftet påstand fra den formodede trusselsaktør, ikke en konklusion bekræftet af Revolut eller myndighederne. 3637

Hvilke oplysninger kan være udleveret?

Kundemeddelelser gennemgået af TechCrunch angav, at de udleverede oplysninger omfattede identitets- og kontaktdata som fødselsdatoer, post- og e-mailadresser, telefonnumre samt kopier af pas eller kørekort. Oplysningerne kan også have omfattet verifikationsselfies, kontoudtog og transaktionshistorik. 35

Anden omtale beskriver IBAN-numre, hævningsoplysninger og bitcoin-transaktionsaktivitet blandt materialet, som angiveligt blev indhentet. 510

Samlet set er det en særligt følsom kombination: Identitetsdokumenter kan bruges til identitetssvindel og misbrug af kontogendannelse, mens kontakt- og finansielle oplysninger kan gøre phishingforsøg usædvanligt troværdige.

Derfor øger bitcoin-oplysninger risikoen

Navn, adresse, identitetsdokument og verifikationsselfie kan forbinde en virkelig person med økonomisk aktivitet. Hvis bitcoin-transaktionshistorik indgår, kan lækket gøre det lettere at kæde verificerede identitetsoplysninger sammen med aktivitet på en offentlig blockchain. 1035

Det betyder ikke, at enhver wallet eller enhver fremtidig transaktion automatisk kan tilskrives personen. Men kombinationen kan øge risikoen for målrettet phishing, identitetssvindel, afpresningsforsøg og svindel rettet mod personer, der opfattes som ejere af kryptoaktiver. I modsætning til en adgangskode kan identitetsdokumenter og tidligere blockchain-optegnelser ikke bare ændres efter et læk.

Læk af materiale, navngivne personer og det påståede løsepengekrav

Angriberne blev omtalt som værende begyndt at offentliggøre kundemateriale og true med flere læk. Rapporteringen identificerede filer, der angiveligt tilhørte tennisspilleren Alexander Shevchenko og Gamdom-topchefen Felix Römer; Cointelegraph skrev, at Römer kommenterede, efter hans oplysninger dukkede op i lækket. 2

Et påstået krav på 10.000 BTC – vurderet til cirka 780 mio. dollar på det tidspunkt – cirkulerede i opslag og sekundær rapportering. Revolut har ikke bekræftet kravet, og det har politiet heller ikke i det citerede materiale. Det bør derfor behandles som en ubekræftet afpresningspåstand, ikke som en bekræftet forhandling om løsesum. 1213

Det bør berørte kunder gøre

Kunder, der har modtaget en besked fra Revolut, bør gemme den og følge virksomhedens officielle vejledning. De bør samtidig være ekstra påpasselige med henvendelser, der nævner personlige oplysninger, udgiver sig for at komme fra Revolut eller en myndighed, eller skaber et akut pres om kontosikkerhed.

Relevante forholdsregler er:

• Skift adgangskode til Revolut og e-mail, hvis den er genbrugt andre steder, og slå den stærkeste tilgængelige totrinsgodkendelse til.
• Betragt uopfordrede opkald, sms'er og e-mails som mistænkelige – også når de indeholder korrekte personlige oplysninger.
• Del aldrig engangskoder, gendannelseskoder eller seed phrases med en person, der ringer eller skriver.
• Hold øje med uventet aktivitet på bank-, kort- og kryptobørskonti, og dokumentér mistænkelige henvendelser.
• Hvis identitetsdokumenter er blevet udleveret, bør man forholde sig til risikoen for fremtidigt identitetssvindel frem for at antage, at faren er væk, når et kort eventuelt er udskiftet.

I Storbritannien anbefaler Information Commissioner's Office (ICO), at personer, som mener, at en organisation ikke har beskyttet deres data tilstrækkeligt, først kontakter organisationen. ICO tilbyder også offentlige hjælpekontakter om databeskyttelse. 23

Læren for finansvirksomheder

Sagen viser, hvorfor følsomme anmodninger fra myndigheder og politi skal kontrolleres på mere end blot afsenderdomænet. Effektive værn kan omfatte uafhængig tilbagekaldskontrol via oplysninger i betroede registre, dobbelt godkendelse af særligt følsomme udleveringer, dataminimering, revisionsspor for alle anmodninger og klare procedurer til at opdage social engineering, der misbruger autoritet.

For kunder er konklusionen lige så enkel: En officiel e-mailadresse er et signal, der skal undersøges – ikke et bevis, man ukritisk skal stole på. Ved et brud, der omfatter identitetspapirer og finanshistorik, kan efterfølgende svindel blive mere skadelig end den oprindelige udlevering.

Det ved vi stadig ikke

Materialet underbygger, at Revolut udleverede kundedata efter svigagtige anmodninger fra et legitimt myndighedsdomæne, og at virksomhedens kernesystemer og kundemidler ifølge Revolut ikke blev påvirket. 1

Vigtige detaljer er fortsat uafklarede i den forelagte rapportering: PEC-infrastrukturens præcise rolle, den påståede tidslinje på seks måneder, det fulde antal berørte kunder, angribernes påståede adgang til italienske systemer og status for eventuelle tiltag fra britiske tilsynsmyndigheder. De påstande bør ikke fremstilles som fastslåede fakta uden officiel bekræftelse. 133637