Revolut luovutti asiakastietoja viranomaiseksi naamioituneille huijareille

Revolut kertoo luovuttaneensa arkaluonteisia asiakastietoja luvattomalle ulkopuoliselle taholle, kun se vastasi vilpillisiin tietopyyntöihin. Pyynnöt oli lähetetty aidon viranomaisen sähköpostiverkkotunnuksesta. Yhtiön 12. syyskuuta antama vahvistus on poikkeuksellinen ennen kaikkea siksi, ettei hyökkääjien tarvinnut murtautua Revolutin keskeisiin järjestelmiin: ne hyödynsivät luottamusta viralliselta vaikuttavaan viestintäkanavaan. Revolutin mukaan asiakkaiden varat ja sen järjestelmät eivät vaarantuneet, ja yhtiö otti yhteyttä niihin asiakkaisiin, joita tapaus koski. 134

Mitä Revolut vahvisti?

Revolut vahvisti, että luvaton taho lähetti petollisia tietopyyntöjä oikealla viranomaisdomainilla olevasta sähköpostiosoitteesta. Tämän seurauksena asiakastietoja luovutettiin huijareille. Yhtiö kuvasi tapausta "kehittyneeksi ulkoiseksi identiteettihuijaukseksi", kertoi estäneensä kyseisen osoitteen havaittuaan tapauksen ja ilmoittaneensa asiasta viranomaisille. 13448

Olennainen rajaus on tämä: saatavilla olevat tiedot eivät osoita, että hyökkääjät olisivat murtautuneet Revolutin pankki-infrastruktuuriin tai päässeet asiakkaiden rahoihin käsiksi. Sen sijaan ne osoittavat, että arkaluonteisten ulkoisten tietopyyntöjen tarkistusprosessi onnistuttiin harhauttamaan. 134

Miten huijaus toimi?

Vahvistettu yksityiskohta on, että pyynnöt tulivat aidolta viranomaisdomainilta. Teknisesti oikealta näyttävä lähettäjäosoite voi tehdä pyynnöstä uskottavan, etenkin kun käsitellään kiireellisiä viranomais- tai lainvalvontapyyntöjä. 135

Myöhemmissä uutisissa lähettäjä on yhdistetty Italian PEC-järjestelmään eli sertifioituun sähköpostiin sekä Italian sisäministeriön pec.interno.it-domainiin. Revolut tai Italian viranomaiset eivät kuitenkaan ole itsenäisesti vahvistaneet tätä kytköstä saatavilla olevassa aineistossa. Sitä on siis pidettävä raportoituna johtolankana, ei varmistettuna kuvauksena hyökkäyksestä. 37

Tapaus muistuttaa, ettei sähköpostidomainin aitous yksin todista arkaluonteista tietoa pyytävän tahon oikeutta saada tietoja. Pyyntö pitäisi varmistaa erikseen viranomaisen tunnetun yhteyskanavan kautta, ja luovutuksille pitäisi olla selkeä eskalointi- ja hyväksymismenettely.

Kuinka montaa asiakasta tapaus koski?

Revolut sanoi aluksi vain, että vaikutus kohdistui "hyvin rajalliseen" määrään asiakkaita, eikä julkaissut tarkkaa lukua. 1

Myöhemmän raportoinnin mukaan kyse oli noin 680 asiakkaasta maailmanlaajuisesti, joista 12 olisi ollut Irlannissa. Revolut ei ollut vahvistanut lukua alkuperäisessä lausunnossaan, joten sitä on pidettävä uutislähteiden raportoimana arviona, ei yhtiön omana virallisena lukuna. 33

Myös väite siitä, että hyökkääjillä olisi ollut pääsy Italian lainvalvontajärjestelmiin noin kuuden kuukauden ajan, perustuu väitetyn uhkatoimijan omaan väitteeseen. Revolut tai viranomaiset eivät ole vahvistaneet sitä. 3637

Millaisia tietoja saattoi paljastua?

TechCrunchin näkemän asiakasilmoituksen mukaan luovutettuihin tietoihin kuului mahdollisesti tunniste- ja yhteystietoja: syntymäaika, posti- ja sähköpostiosoite, puhelinnumero sekä passin tai ajokortin kopio. Tiedoissa saattoi olla myös henkilöllisyyden varmistukseen käytetty selfie, tiliotteita ja tapahtumahistoriaa. 35

Muissa uutisissa on mainittu IBAN-tilinumerot, nostotiedot ja Bitcoin-siirtotoiminta. 510

Yhdistelmä on erityisen arkaluonteinen. Henkilöllisyysasiakirjoja voidaan hyödyntää esiintymiseen toisena henkilönä ja tilien palautusyrityksissä. Yhteys- ja taloustiedot taas voivat tehdä tietojenkalasteluviesteistä tavallista uskottavampia.

Miksi Bitcoin-tietojen vuoto kasvattaa riskiä?

Nimi, osoite, henkilöllisyysasiakirja ja varmennusselfie voivat yhdistää todellisen henkilön rahoitustoimintaan. Jos mukana on Bitcoin-siirtohistoriaa, tietoja voidaan mahdollisesti käyttää linkittämään vahvistettu tosielämän identiteetti julkisessa lohkoketjussa näkyvään toimintaan. 1035

Tämä ei tarkoita, että jokainen lompakko tai tuleva siirto olisi automaattisesti yhdistettävissä tiettyyn henkilöön. Tietojen yhdistelmä voi silti lisätä kohdennetun tietojenkalastelun, identiteettipetosten, painostusyritysten ja kryptovarallisuudesta kiinnostuneisiin ihmisiin kohdistuvien huijausten riskiä. Toisin kuin salasanaa, henkilöllisyysasiakirjoja tai aiempaa lohkoketjuhistoriaa ei voi vaihtaa vuodon jälkeen.

Julkaistut tiedot ja väitetty lunnaiden vaatimus

Hyökkääjien on raportoitu julkaisseen asiakastietoja ja uhkailleen lisäjulkaisuilla. Vuodossa kerrottiin olleen asiakirjoja, joiden väitettiin kuuluvan tennispelaaja Alexander Shevchenkolle ja Gamdomin toimitusjohtajalle Felix Römerille. Cointelegraphin mukaan Römer kommentoi tapausta sen jälkeen, kun hänen tietojensa kerrottiin näkyneen vuodossa. 2

Verkossa on kiertänyt väite 10 000 bitcoinin vaatimuksesta, jonka arvoksi arvioitiin tuolloin noin 780 miljoonaa dollaria. Revolut tai lainvalvontaviranomaiset eivät ole vahvistaneet vaatimusta. Sitä on siksi pidettävä vahvistamattomana kiristysväitteenä, ei varmistettuna lunnasneuvotteluna. 1213

Mitä asiakkaan kannattaa tehdä?

Jos sait Revolutilta tietoturvailmoituksen, säilytä se ja noudata yhtiön virallisia ohjeita. Suhtaudu erityisen varovaisesti yhteydenottoihin, joissa käytetään henkilökohtaisia tietojasi, esiinnytään Revolutina tai viranomaisena tai luodaan keinotekoista kiireen tuntua.

Käytännön varotoimia ovat:

• Vaihda Revolutin ja sähköpostin salasanat, jos samoja salasanoja käytetään muualla, ja ota käyttöön vahvin tarjolla oleva monivaiheinen tunnistautuminen.
• Pidä pyytämättä tulevia puheluita, tekstiviestejä ja sähköposteja epäilyttävinä, vaikka niissä olisi oikeita henkilötietojasi.
• Älä koskaan luovuta kertakäyttökoodeja, palautuskoodeja tai kryptolompakon seed phrase -palautuslausetta soittajalle tai viestin lähettäjälle.
• Seuraa pankki-, kortti- ja kryptopörssitilejä poikkeavan toiminnan varalta ja kirjaa epäilyttävät yhteydenotot talteen.
• Jos henkilöllisyysasiakirjasi on voinut paljastua, varaudu myös myöhempiin identiteettipetoksiin. Riski ei välttämättä pääty siihen, että pankkikortti vaihdetaan.

Britannian tietosuojaviranomainen ICO neuvoo tietoturvasta huolestuneita ottamaan ensin yhteyttä kyseiseen organisaatioon ja tarjoaa myös julkisia neuvontakanavia tietosuojahuoliin. 23

Opetus rahoitusalan yrityksille

Tapaus osoittaa, että viranomais- ja lainvalvontapyyntöjen käsittelyyn tarvitaan enemmän kuin lähettäjädomainin tarkistus. Suojauksia voivat olla esimerkiksi takaisinsoitto tunnettuun viranomaisnumeroon, kahden henkilön hyväksyntä erityisen arkaluonteisiin luovutuksiin, luovutettavan tiedon minimointi, tarkat auditointilokit ja henkilöstön koulutus auktoriteettiin vetoavan sosiaalisen manipuloinnin tunnistamiseen.

Asiakkaalle johtopäätös on yhtä suoraviivainen: viralliselta näyttävä sähköpostiosoite on syy tarkistaa asia, ei automaattinen peruste luottaa viestiin. Kun vuodossa on henkilöllisyystietoja ja rahoitushistoriaa, jatkohuijaukset voivat aiheuttaa suurempaa vahinkoa kuin alkuperäinen tietojen luovutus.

Mitä ei vielä tiedetä?

Saatavilla oleva näyttö tukee sitä, että Revolut luovutti asiakastietoja vilpillisten, aidolta viranomaisdomainilta tulleiden pyyntöjen jälkeen. Yhtiön mukaan sen ydininfrastruktuuri ja asiakkaiden varat eivät vahingoittuneet. 1

Aineistossa jää avoimeksi useita keskeisiä kysymyksiä: PEC-infrastruktuurin täsmällinen rooli, väitetty kuuden kuukauden aikajana, lopullinen vaikutuksen kohteena olleiden asiakkaiden määrä, hyökkääjien väitetty pääsy Italian järjestelmiin sekä Britannian sääntelytoimien mahdollinen eteneminen. Näitä väitteitä ei pidä esittää varmoina ilman virallista vahvistusta. 133637