דליפת הנתונים ב‑Revolut: מה אושר, מה נטען ומה עדיין לא נבדק

Revolut אישרה שמידע רגיש על לקוחות נמסר לגורם לא מורשה, לאחר שהחברה קיבלה בקשות מידע במרמה שנשלחו מדומיין דוא״ל של רשות ממשלתית לגיטימית. לפי החברה, מדובר בהונאת התחזות או הנדסה חברתית חיצונית — ולא בפריצה מאומתת למערכות הליבה שלה. 12

האירוע לווה גם בטענת כופר פומבית מצד גורם או קבוצה המכנים את עצמם „iamnotavillain”. עם זאת, יש הסתייגות מרכזית: Revolut מסרה לרויטרס כי לא קיבלה כל פנייה ישירה או דרישת כופר מהאנשים שטוענים לאחריות. 2

מה Revolut אישרה

לפי הודעת החברה שדווחה ברויטרס, נוכלים השתמשו בדומיין דוא״ל לגיטימי של רשות ממשלתית כדי להגיש בקשות מטעות למידע על לקוחות. לפני שההונאה זוהתה, Revolut מסרה מידע רגיש לצד שלישי לא מורשה. 1

החברה מסרה כי הלקוחות שנפגעו קיבלו הודעה, ובתחילה תיארה את מספרם כ״מצומצם מאוד״. בהמשך דיווחה רויטרס כי מדובר, לפי ההבנה בדיווחים, בכ-680 לקוחות — מספר שלא פורסם בהודעתה הציבורית הראשונית של Revolut. 12

דיווחים שהתבססו על הודעות שנשלחו ללקוחות שנפגעו מצביעים על כך שהמידע שנחשף עשוי לכלול פרטי זיהוי ויצירת קשר, כגון תאריכי לידה, כתובות, מספרי טלפון והעתקי מסמכי זהות. TechCrunch דיווח כי ייתכן שנכללו גם תמונות סלפי לצורכי אימות, דפי חשבון וחומרים נוספים הקשורים לחשבון. 5

האם מערכות Revolut נפרצו?

לפי גרסת Revolut ודיווח המבוסס על מקור שמכיר את הפרשה, תשתיות הליבה, מאגרי הנתונים וחשבונות הלקוחות של Revolut לא נפרצו. החברה הוסיפה כי המערכות שלה וכספי הלקוחות לא נפגעו. 12

ההבחנה הזו חשובה: האירוע המאומת הוא מסירת נתונים שנגרמה בעקבות בקשות הונאה, ולא חדירה טכנית מאושרת למערכות החשבונות או למאגרי הנתונים של החברה. הדיווחים הפומביים אינם מבססים באופן עצמאי כל פרט טכני של התקרית, ולכן אין להרחיב מעבר למה שאושר. 12

דרישת הכופר המדווחת: 3 מיליון דולר

לפי דיווח של Financial Times, שהובא ברויטרס, הגורמים שטוענים לאחריות איימו למכור לגורמים עברייניים רשומות חסויות של מאות מלקוחות Revolut, אלא אם החברה תשלם 3 מיליון דולר בתוך 24 שעות. 2

בדיווחים אחרים צוין כי הדרישה הייתה ל-6,000 מטבעות Monero ‏(XMR), בשווי של כ-3 מיליון דולר באותה עת, וכי הגורם הנטען מכנה את עצמו „iamnotavillain”. לפי אותם דיווחים, הקבוצה פרסמה ברשת אולטימטום לצד שעון ספירה לאחור וטענה שלא התקיים משא ומתן. 46

אלה טענות של התוקפים לכאורה, או טענות המיוחסות להם. הן אינן מוכיחות שזהות הקבוצה אמיתית, שהיא מחזיקה בכל הרשומות שהיא טוענת שיש ברשותה, או שביכולתה לבצע את המכירה שעליה איימה. העובדה ש-Revolut אומרת שלא קיבלה דרישה ישירה מוסיפה אי-ודאות לגבי מעמדו של האולטימטום הפומבי. 26

מה ידוע — ומה עדיין לא

נתמך בהודעת Revolut ובדיווחים מרכזיים

• בקשות הונאה שנשלחו מדומיין דוא״ל ממשלתי לגיטימי הובילו למסירת מידע רגיש של לקוחות לגורם לא מורשה. 1
• Revolut אומרת שהמערכות שלה וכספי הלקוחות לא נפגעו. 1
• רויטרס דיווחה כי Revolut לא קיבלה פנייה ישירה או דרישת כופר מהגורמים הנטענים. 2
• הדיווחים מעריכים את מספר הלקוחות שנפגעו בכ-680. 24

עדיין לא אומת, או נשען על טענות התוקפים

• האם „iamnotavillain” הוא האדם או הקבוצה שאחראים למסירת הנתונים. 26
• האם הקבוצה מחזיקה במלוא מאגר הרשומות שהיא טוענת שבידיה. 26
• האם מידע כלשהו כבר נמכר, שותף או נוצל בידי קבוצות עברייניות נוספות. 2
• רצף הנסיבות הטכני והתפעולי המלא שאפשר לבקשות ההונאה להיראות אמינות. 12

השורה התחתונה

המידע הזמין תומך במסקנה מצומצמת אך חמורה: Revolut מסרה מידע רגיש על לקוחות לאחר שהוטעתה באמצעות בקשות מזויפות שנראו כאילו נשלחו מדומיין ממשלתי לגיטימי. החברה דוחה את הטענה שתשתיות הליבה שלה או חשבונות הלקוחות נפרצו. 12

דרישת הכופר של 3 מיליון דולר במונרו, הדדליין של 24 שעות, שעון הספירה לאחור והייחוס ל-„iamnotavillain” דווחו בפומבי, אך נותרו טענות הקשורות לתוקפים לכאורה. כל עוד אין להן אימות עצמאי, יש להבחין ביניהן לבין מסירת הנתונים שאושרה על ידי Revolut. 26