Mitä Revolutin tietojen luovutuksesta ja 3 miljoonan dollarin lunnasvaateesta tiedetään

Revolut on vahvistanut, että arkaluonteisia asiakastietoja luovutettiin luvattomalle kolmannelle osapuolelle. Taustalla olivat petolliset tietopyynnöt, jotka lähetettiin aidon viranomaistahon sähköpostiverkkotunnuksesta. Yhtiö kuvaa tapausta ulkopuoliseksi esiintymis- eli sosiaalisen manipuloinnin huijaukseksi – ei vahvistetuksi murroksi Revolutin ydinjärjestelmiin. 12

Tapaukseen liittyy myös julkisesti esitetty lunnasvaade taholta, joka käyttää nimeä „iamnotavillain”. Keskeinen varaus kuitenkin on, että Revolut kertoi Reutersille, ettei se ollut saanut väitetyiltä tekijöiltä suoraa yhteydenottoa eikä lunnasvaatimusta. 2

Mitä Revolut on vahvistanut

Reutersin siteeraaman Revolutin lausunnon mukaan huijarit käyttivät aidon viranomaisen sähköpostiverkkotunnusta petollisten asiakastietopyyntöjen lähettämiseen. Revolut luovutti tämän seurauksena arkaluonteisia tietoja luvattomalle taholle ennen kuin petos havaittiin. 1

Yhtiö kertoi ilmoittaneensa asiasta niille asiakkaille, joita tapaus koski, ja kuvasi määrää aluksi „hyvin rajalliseksi”. Reuters raportoi myöhemmin, että tapauksessa arvioidaan olevan kyse noin 680 asiakkaasta. Revolut ei kuitenkaan kertonut tarkkaa lukua ensimmäisessä julkisessa lausunnossaan. 12

Asianomaisille asiakkaille lähetettyihin ilmoituksiin perustuvien tietojen mukaan paljastuneet tiedot voivat sisältää esimerkiksi syntymäaikoja, osoitteita, puhelinnumeroita ja henkilöllisyystodistusten kopioita. TechCrunchin mukaan tietojen joukossa on voinut olla myös henkilöllisyyden varmennuksessa käytettyjä selfieitä, tiliotteita ja muuta tiliin liittyvää aineistoa. 5

Murtauduttiinko Revolutin järjestelmiin?

Revolutin oman kuvauksen sekä asiasta perillä olleen lähteen mukaan Revolutin ydinjärjestelmiin, tietokantoihin tai asiakastileihin ei murtauduttu. Yhtiö sanoi myös, etteivät sen järjestelmät tai asiakkaiden varat kärsineet vaikutuksia. 12

Erottelu on olennainen: varmistettu tapaus on harhaanjohtavilla pyynnöillä aikaansaatu tietojen luovutus, ei vahvistettu tekninen tunkeutuminen Revolutin tili- tai tietokantajärjestelmiin. Julkinen raportointi ei silti riippumattomasti vahvista tapahtumaketjun kaikkia teknisiä yksityiskohtia, joten tapauksen laajuutta ei pidä liioitella. 12

Raportoitu 3 miljoonan dollarin vaatimus

Financial Times raportoi Reutersin mukaan, että vastuuta tapauksesta väittävät toimijat uhkasivat myydä satojen Revolut-asiakkaiden luottamuksellisia tietoja rikollisryhmille, ellei yhtiö maksaisi 3 miljoonaa dollaria 24 tunnin sisällä. 2

Muissa raporteissa vaatimuksen summaksi kerrotaan 6 000 Moneroa (XMR), jonka arvoksi arvioitiin tuolloin noin 3 miljoonaa dollaria. Väitetty tekijä käyttää nimeä „iamnotavillain”, ja se julkaisi tiettävästi verkossa uhkavaatimuksen sekä lähtölaskurin. Ryhmä väitti myös, ettei neuvotteluja ollut käyty. 46

Nämä yksityiskohdat ovat väitettyjen hyökkääjien omia väitteitä tai niihin liitettyjä tietoja. Ne eivät todista, että ryhmä on aidosti vastuussa tietojen luovutuksesta, että sillä on hallussaan kaikki väittämänsä asiakirjat tai että se pystyisi toteuttamaan uhkaamansa tietojen myynnin. Revolutin ilmoitus siitä, ettei yhtiö ole saanut suoraa vaatimusta, lisää epävarmuutta julkisen uhkavaatimuksen asemasta. 26

Mikä on tiedossa – ja mikä ei

Revolutin lausuntoon ja merkittäviin uutisraportteihin perustuvat tiedot

• Aidon viranomaisen sähköpostiverkkotunnuksesta lähetetyt petolliset pyynnöt johtivat arkaluonteisten asiakastietojen luvattomaan luovutukseen. 1
• Revolutin mukaan sen järjestelmät ja asiakkaiden varat eivät kärsineet vaikutuksia. 1
• Reutersin mukaan Revolut ei ollut saanut väitetyiltä tekijöiltä suoraa yhteydenottoa tai lunnasvaatimusta. 2
• Raportoinnin perusteella tapauksen kohteena oli noin 680 asiakasta. 24

Yhä varmistamattomat tai hyökkääjien väitteisiin nojaavat tiedot

• Onko „iamnotavillain” tietojen luovutuksen takana oleva henkilö tai ryhmä. 26
• Onko ryhmällä hallussaan koko se aineisto, jonka se väittää omistavansa. 26
• Onko tietoja myyty, jaettu tai muuten käytetty muiden rikollisryhmien toimesta. 2
• Millainen koko tekninen ja toiminnallinen tapahtumaketju teki petollisista pyynnöistä uskottavia. 12

Yhteenveto

Saatavilla olevat tiedot tukevat rajattua mutta vakavaa johtopäätöstä: Revolut luovutti arkaluonteisia asiakastietoja, koska se harhautettiin vastaamaan petollisiin pyyntöihin, jotka näyttivät tulevan aidosta viranomaissähköpostista. Revolut kiistää, että sen ydinjärjestelmiin tai asiakastileihin olisi murtauduttu. 12

3 miljoonan dollarin Monero-vaatimus, 24 tunnin määräaika, lähtölaskuri ja „iamnotavillain”-nimi ovat julkisuudessa raportoituja, mutta väitettyihin tekijöihin liittyviä väitteitä. Niitä on syytä käsitellä erillään Revolutin vahvistamasta tietojen luvattomasta luovutuksesta, kunnes väitteille saadaan riippumatonta vahvistusta. 26