Dette vet vi om Revoluts utlevering av kundedata og det påståtte løsepengekravet

Revolut har bekreftet at sensitive kundeopplysninger ble utlevert til en uvedkommende etter at selskapet mottok falske forespørsler fra et legitimt e-postdomene tilhørende en offentlig myndighet. Selskapet beskriver hendelsen som en ekstern etterlignings- eller sosial manipulering-svindel, ikke som et bekreftet innbrudd i kjernesystemene. 12

Saken har også utløst et offentlig påstått løsepengekrav fra en gruppe som bruker navnet «iamnotavillain». Et viktig forbehold er imidlertid at Revolut opplyste til Reuters at selskapet ikke har hatt direkte kontakt med, eller mottatt noe løsepengekrav fra, dem som hevder å være ansvarlige. 2

Dette har Revolut bekreftet

Ifølge Revoluts uttalelse, gjengitt av Reuters, brukte svindlere et legitimt e-postdomene fra en offentlig myndighet til å sende villedende forespørsler om kundeopplysninger. Revolut utleverte deretter sensitiv informasjon til en uvedkommende før svindelen ble avdekket. 1

Revolut opplyser at berørte kunder er varslet, og beskrev først antallet som «svært begrenset». Reuters rapporterte senere at saken antas å omfatte rundt 680 kunder, men dette tallet ble ikke oppgitt av Revolut i selskapets første offentlige uttalelse. 12

Varsler til berørte kunder, omtalt av TechCrunch, tyder på at de eksponerte opplysningene kan omfatte identitets- og kontaktdata som fødselsdato, adresse, telefonnummer og kopier av identitetsdokumenter. Opplysningene kan også ha omfattet verifiseringsselfier, kontoutskrifter og annet kontorelatert materiale. 5

Ble Revoluts systemer hacket?

Ut fra Revoluts egen redegjørelse og informasjon Reuters har fått fra en kilde med kjennskap til saken, ble Revoluts kjerneinfrastruktur, databaser og kundekontoer ikke hacket. Revolut har også sagt at systemene og kundenes midler ikke ble berørt. 12

Skillet er vesentlig: Det som er bekreftet, er en utlevering av data som ble fremprovosert gjennom falske forespørsler – ikke en bekreftet teknisk inntrenging i Revoluts konto- eller databasesystemer. Offentlig tilgjengelig rapportering fastslår ikke alle tekniske detaljer, så det fulle omfanget bør ikke overdrives. 12

Det rapporterte kravet på 3 millioner dollar

Financial Times rapporterte, ifølge Reuters, at aktørene som hevder å stå bak, truet med å selge konfidensielle opplysninger om hundrevis av Revolut-kunder til andre kriminelle grupper dersom selskapet ikke betalte 3 millioner dollar innen 24 timer. 2

Andre medieoppslag oppgir at kravet var 6 000 Monero (XMR), verdt om lag 3 millioner dollar på det aktuelle tidspunktet, og identifiserer den påståtte aktøren som «iamnotavillain». Gruppen skal ha publisert ultimatumet på nett med en nedtellingsklokke og hevdet at det ikke hadde vært noen forhandlinger. 46

Dette er påstander fra, eller tillagt, de angivelige angriperne. De beviser ikke at gruppens identitet er ekte, at den sitter på alle opplysningene den hevder å ha, eller at den faktisk kan gjennomføre det truede salget. Revoluts opplysning om at selskapet ikke har mottatt noe direkte krav, gjør statusen til det offentlige ultimatumet enda mer usikker. 26

Hva er kjent – og hva er fortsatt uavklart?

Støttet av Revoluts uttalelser og større medieoppslag

• Falske forespørsler sendt fra et legitimt myndighetsdomene førte til uautorisert utlevering av sensitive kundeopplysninger. 1
• Revolut sier at selskapets systemer og kundenes midler ikke ble berørt. 1
• Reuters rapporterer at Revolut ikke har hatt direkte kontakt med eller mottatt et direkte løsepengekrav fra de påståtte gjerningspersonene. 2
• Medieoppslag anslår antallet berørte kunder til rundt 680. 24

Ikke verifisert, eller avhengig av angripernes påstander

• Om «iamnotavillain» faktisk er personen eller gruppen bak utleveringen. 26
• Om gruppen har hele datasettet den hevder å sitte på. 26
• Om data er solgt, delt eller på annen måte brukt av andre kriminelle grupper. 2
• Hele den tekniske og operative kjeden som gjorde at de falske henvendelsene fremsto som troverdige. 12

Kort oppsummert

Det tilgjengelige grunnlaget peker mot en alvorlig, men avgrenset konklusjon: Revolut utleverte sensitive kundedata etter å ha blitt lurt av falske forespørsler som tilsynelatende kom fra et legitimt e-postdomene hos en offentlig myndighet. Revolut bestrider at selskapets kjerneinfrastruktur eller kundekontoer ble kompromittert. 12

Kravet om 3 millioner dollar i Monero, fristen på 24 timer, nedtellingsklokken og koblingen til «iamnotavillain» er offentlig rapportert, men bygger fortsatt på påstander knyttet til de angivelige angriperne. Inntil dette er uavhengig bekreftet, bør det holdes adskilt fra datautleveringen Revolut faktisk har bekreftet. 26