Revolut ग्राहक डेटा खुलासा: पुष्टि, दावे और अनसुलझे सवाल

Revolut ने पुष्टि की है कि एक वैध सरकारी एजेंसी के ईमेल डोमेन से भेजे गए फर्जी अनुरोधों के बाद संवेदनशील ग्राहक जानकारी एक अनधिकृत तीसरे पक्ष को दे दी गई। कंपनी इसे अपने मुख्य सिस्टम में सेंध की पुष्टि नहीं, बल्कि बाहरी प्रतिरूपण या सोशल-इंजीनियरिंग धोखाधड़ी बता रही है। 12

मामले में “iamnotavillain” नाम इस्तेमाल करने वाले एक समूह की सार्वजनिक फिरौती मांग भी सामने आई है। हालांकि एक अहम बात यह है कि Revolut ने Reuters से कहा कि उसे जिम्मेदारी लेने वाले लोगों या समूह की ओर से कोई सीधा संपर्क या फिरौती मांग नहीं मिली। 2

Revolut ने क्या पुष्टि की है?

Reuters के अनुसार, धोखेबाजों ने किसी वैध सरकारी एजेंसी के ईमेल डोमेन का इस्तेमाल कर ग्राहक जानकारी के लिए भ्रामक अनुरोध भेजे। धोखाधड़ी का पता चलने से पहले Revolut ने संवेदनशील जानकारी अनधिकृत तीसरे पक्ष को दे दी। 1

Revolut ने प्रभावित ग्राहकों को सूचित करने की बात कही और शुरुआत में उनकी संख्या को “बहुत सीमित” बताया। बाद में Reuters ने रिपोर्ट किया कि मामला करीब 680 ग्राहकों से जुड़ा माना जा रहा है, हालांकि Revolut ने अपने शुरुआती सार्वजनिक बयान में यह सटीक संख्या नहीं बताई थी। 12

प्रभावित ग्राहकों को भेजी गई सूचनाओं पर आधारित रिपोर्टिंग के मुताबिक, सामने आई जानकारी में जन्मतिथि, पते, फोन नंबर और पहचान दस्तावेजों की प्रतियां जैसे पहचान व संपर्क विवरण शामिल हो सकते हैं। TechCrunch ने बताया कि इसमें पहचान सत्यापन के लिए ली गई सेल्फी, अकाउंट स्टेटमेंट और खाते से जुड़ी अन्य सामग्री भी शामिल हो सकती है। 5

क्या Revolut का इन्फ्रास्ट्रक्चर हैक हुआ था?

Revolut के बयान और मामले की जानकारी रखने वाले एक स्रोत के अनुसार, Revolut का मुख्य इन्फ्रास्ट्रक्चर, डेटाबेस और ग्राहक खाते हैक नहीं हुए। कंपनी ने यह भी कहा कि उसके सिस्टम और ग्राहकों के फंड प्रभावित नहीं हुए। 12

यह अंतर महत्वपूर्ण है: पुष्टि हुई घटना फर्जी अनुरोधों से प्रेरित डेटा खुलासा है, न कि Revolut के खाता सिस्टम या डेटाबेस में किसी तकनीकी घुसपैठ की पुष्टि। घटना के सभी तकनीकी पहलुओं की स्वतंत्र पुष्टि सार्वजनिक रिपोर्टिंग से नहीं होती, इसलिए इसके पूरे दायरे को बढ़ा-चढ़ाकर नहीं बताया जाना चाहिए। 12

30 लाख डॉलर की कथित मांग

Reuters के अनुसार, फाइनेंशियल टाइम्स ने रिपोर्ट किया कि जिम्मेदारी लेने वाले लोगों ने कथित तौर पर चेतावनी दी कि यदि Revolut ने 24 घंटे के भीतर 30 लाख डॉलर नहीं दिए, तो वे सैकड़ों ग्राहकों के गोपनीय रिकॉर्ड दूसरे आपराधिक समूहों को बेच देंगे। 2

अन्य रिपोर्टों में मांग को 6,000 Monero (XMR) बताया गया है, जिसकी उस समय कीमत लगभग 30 लाख डॉलर थी। कथित समूह “iamnotavillain” ने कथित तौर पर ऑनलाइन उलटी गिनती वाली घड़ी के साथ यह अल्टीमेटम पोस्ट किया और कहा कि कोई बातचीत नहीं हुई है। 46

लेकिन ये विवरण कथित हमलावरों के दावे हैं या उन्हीं से जोड़े गए हैं। इनसे यह सिद्ध नहीं होता कि समूह की पहचान असली है, उसके पास दावा किए गए सभी रिकॉर्ड हैं, या वह धमकी के अनुरूप उन्हें बेच सकता है। Revolut का यह कहना कि उसे कोई सीधी मांग नहीं मिली, सार्वजनिक अल्टीमेटम की स्थिति को और अनिश्चित बनाता है। 26

क्या ज्ञात है और क्या अभी सत्यापित नहीं है

Revolut के बयान और प्रमुख रिपोर्टिंग से समर्थित बातें

• वैध सरकारी एजेंसी के ईमेल डोमेन से भेजे गए फर्जी अनुरोधों के कारण संवेदनशील ग्राहक जानकारी का अनधिकृत खुलासा हुआ। 1
• Revolut के अनुसार, उसके सिस्टम और ग्राहकों के फंड प्रभावित नहीं हुए। 1
• Reuters ने रिपोर्ट किया कि कथित जिम्मेदार लोगों की ओर से Revolut को कोई सीधा संपर्क या फिरौती मांग नहीं मिली। 2
• रिपोर्टों में प्रभावित ग्राहकों की संख्या करीब 680 बताई गई है। 24

वे बातें जो अभी अपुष्ट हैं या हमलावरों के दावों पर निर्भर हैं

• क्या “iamnotavillain” वास्तव में डेटा खुलासे के पीछे का व्यक्ति या समूह है। 26
• क्या उस समूह के पास उसके दावे के अनुसार पूरा डेटा-संग्रह मौजूद है। 26
• क्या कोई डेटा बेचा, साझा या दूसरे आपराधिक समूहों द्वारा इस्तेमाल किया जा चुका है। 2
• फर्जी अनुरोधों को विश्वसनीय दिखाने वाली तकनीकी और परिचालन प्रक्रिया की पूरी श्रृंखला क्या थी। 12

निष्कर्ष

उपलब्ध साक्ष्य एक गंभीर लेकिन अपेक्षाकृत सीमित निष्कर्ष का समर्थन करते हैं: वैध सरकारी ईमेल डोमेन से आए दिखने वाले फर्जी अनुरोधों से धोखा खाकर Revolut ने संवेदनशील ग्राहक डेटा अनधिकृत पक्ष को दे दिया। Revolut इस बात से इनकार करता है कि उसके मुख्य इन्फ्रास्ट्रक्चर या ग्राहक खातों में सेंध लगी थी। 12

30 लाख डॉलर की Monero मांग, 24 घंटे की समयसीमा, काउंटडाउन घड़ी और “iamnotavillain” नाम सार्वजनिक रिपोर्टों में सामने आए हैं, लेकिन ये कथित हमलावरों से जुड़े आरोप हैं। स्वतंत्र पुष्टि होने तक इन्हें Revolut द्वारा पुष्टि किए गए डेटा खुलासे से अलग रखकर देखना चाहिए। 26