Kebocoran Data Revolut: Apa yang Disahkan, Didakwa dan Masih Belum Terbukti

Revolut mengesahkan bahawa maklumat pelanggan yang sensitif telah didedahkan kepada pihak ketiga tanpa kebenaran selepas syarikat itu menerima permintaan palsu daripada alamat yang menggunakan domain e-mel agensi kerajaan yang sah. Menurut Revolut, kejadian itu ialah penipuan penyamaran atau kejuruteraan sosial dari luar — bukannya pencerobohan yang disahkan terhadap sistem terasnya. 12

Insiden itu turut mencetuskan tuntutan tebusan terbuka oleh kumpulan yang menggunakan nama “iamnotavillain”. Namun, satu perkara penting perlu diberi perhatian: Revolut memberitahu Reuters bahawa syarikat itu tidak menerima sebarang hubungan langsung atau tuntutan tebusan daripada individu atau kumpulan yang mendakwa bertanggungjawab. 2

Apa yang Revolut sahkan

Menurut kenyataan Revolut yang dilaporkan Reuters, penipu menggunakan domain e-mel agensi kerajaan yang sah untuk menghantar permintaan maklumat pelanggan yang mengelirukan. Revolut kemudian mendedahkan maklumat sensitif kepada pihak ketiga tanpa kebenaran sebelum penipuan itu dikesan. 1

Revolut berkata pelanggan yang terjejas telah dimaklumkan, dan pada awalnya menyifatkan jumlah mereka sebagai “sangat terhad”. Reuters kemudiannya melaporkan bahawa insiden itu difahami melibatkan kira-kira 680 pelanggan, walaupun angka tersebut tidak diumumkan Revolut dalam kenyataan awam awalnya. 12

Laporan berasaskan notifikasi kepada pelanggan terjejas menunjukkan data yang terdedah mungkin termasuk maklumat identiti dan hubungan seperti tarikh lahir, alamat, nombor telefon serta salinan dokumen pengenalan diri. TechCrunch melaporkan bahawa data itu juga mungkin merangkumi swafoto pengesahan, penyata akaun dan bahan lain yang berkaitan dengan akaun. 5

Adakah infrastruktur Revolut digodam?

Berdasarkan penjelasan Revolut dan laporan daripada sumber yang mengetahui perkara itu, infrastruktur teras, pangkalan data dan akaun pelanggan Revolut tidak digodam. Revolut juga menyatakan sistemnya serta dana pelanggan tidak terjejas. 12

Perbezaan ini penting. Kejadian yang disahkan ialah pendedahan data yang berlaku kerana permintaan palsu berjaya memperdayakan pihak syarikat, bukan pencerobohan teknikal yang disahkan ke dalam sistem akaun atau pangkalan data Revolut. Pelaporan awam tidak mengesahkan secara bebas setiap butiran teknikal kejadian ini; justeru, skop penuhnya tidak wajar diperbesarkan. 12

Tuntutan tebusan AS$3 juta yang dilaporkan

Financial Times melaporkan, seperti dipetik Reuters, bahawa pihak yang mendakwa bertanggungjawab mengancam untuk menjual rekod sulit milik ratusan pelanggan Revolut kepada kumpulan jenayah lain jika syarikat itu tidak membayar AS$3 juta dalam tempoh 24 jam. 2

Laporan lain menyatakan pembayaran yang diminta ialah 6,000 Monero (XMR), bernilai kira-kira AS$3 juta pada ketika itu, dan menamakan pihak yang didakwa sebagai “iamnotavillain”. Kumpulan tersebut dilaporkan menyiarkan kata dua itu dalam talian bersama jam undur, serta menyatakan rundingan tidak berlaku. 46

Butiran ini ialah dakwaan yang dibuat oleh, atau dikaitkan dengan, pihak yang didakwa menyerang. Ia tidak membuktikan bahawa identiti kumpulan itu tulen, bahawa mereka memiliki kesemua rekod yang didakwa, atau bahawa mereka mampu melaksanakan ancaman penjualan data tersebut. Kenyataan Revolut bahawa ia tidak menerima tuntutan secara langsung menambahkan lagi ketidakpastian tentang status kata dua terbuka itu. 26

Yang diketahui dan yang belum disahkan

Disokong oleh kenyataan Revolut dan laporan media utama

• Permintaan palsu daripada domain e-mel agensi kerajaan yang sah menyebabkan maklumat pelanggan sensitif didedahkan kepada pihak tanpa kebenaran. 1
• Revolut menyatakan sistem dan dana pelanggannya tidak terjejas. 1
• Reuters melaporkan Revolut tidak mempunyai hubungan langsung atau menerima tuntutan tebusan daripada pihak yang didakwa terlibat. 2
• Laporan meletakkan jumlah pelanggan terjejas pada kira-kira 680 orang. 24

Masih belum disahkan atau bergantung pada dakwaan pihak penyerang

• Sama ada “iamnotavillain” benar-benar individu atau kumpulan di sebalik pendedahan tersebut. 26
• Sama ada kumpulan itu memiliki keseluruhan set rekod yang didakwanya. 26
• Sama ada sebarang data telah dijual, dikongsi atau digunakan oleh kumpulan jenayah lain. 2
• Rantaian teknikal dan operasi penuh yang menjadikan permintaan palsu itu kelihatan meyakinkan. 12

Kesimpulan

Bukti yang ada menyokong kesimpulan yang lebih terhad tetapi tetap serius: Revolut mendedahkan data pelanggan sensitif selepas diperdaya oleh permintaan palsu yang kelihatan datang daripada domain e-mel kerajaan yang sah. Revolut menafikan bahawa infrastruktur teras atau akaun pelanggannya telah diceroboh. 12

Tuntutan 6,000 Monero bernilai AS$3 juta, tempoh 24 jam, jam undur dan penggunaan nama “iamnotavillain” telah dilaporkan secara terbuka, tetapi kekal sebagai dakwaan yang dikaitkan dengan pihak yang didakwa menyerang. Selagi dakwaan itu tidak disahkan secara bebas, ia perlu dibezakan daripada pendedahan data yang telah disahkan Revolut. 26