Revolut ujawnia dane klientów: potwierdzone fakty i niezweryfikowane żądanie 3 mln dolarów

Revolut potwierdził, że wrażliwe informacje o klientach zostały przekazane nieuprawnionej stronie po tym, jak firma otrzymała fałszywe wnioski wysłane z prawdziwej domeny e-mail instytucji publicznej. Spółka opisuje zdarzenie jako zewnętrzne oszustwo oparte na podszywaniu się pod inną instytucję i socjotechnice — a nie jako potwierdzone włamanie do jej kluczowych systemów. 12

Sprawa wywołała też publiczne żądanie okupu zgłoszone przez grupę posługującą się nazwą „iamnotavillain”. Kluczowe zastrzeżenie brzmi jednak: przedstawiciel Revolut przekazał agencji Reuters, że firma nie otrzymała bezpośredniego kontaktu ani żądania okupu od osób lub grupy przypisujących sobie odpowiedzialność za incydent. 2

Co potwierdził Revolut

Z komunikatu firmy, relacjonowanego przez Reutersa, wynika, że oszuści wykorzystali prawdziwą domenę e-mail instytucji publicznej do przesłania zwodniczych wniosków o dane klientów. Zanim oszustwo zostało wykryte, Revolut udostępnił wrażliwe informacje nieuprawnionej stronie. 1

Firma poinformowała poszkodowanych klientów i początkowo określiła ich liczbę jako „bardzo ograniczoną”. Reuters podał później, że sprawa miała dotyczyć około 680 klientów, choć Revolut nie wskazał tej liczby w pierwotnym publicznym oświadczeniu. 12

Z doniesień opartych na powiadomieniach wysłanych do poszkodowanych wynika, że ujawnione dane mogły obejmować informacje identyfikacyjne i kontaktowe: daty urodzenia, adresy, numery telefonów oraz kopie dokumentów tożsamości. TechCrunch informował, że wśród danych mogły znaleźć się także selfie używane przy weryfikacji tożsamości, wyciągi z kont i inne materiały związane z kontem. 5

Czy doszło do włamania do systemów Revolut?

Według relacji Revolut oraz źródła znającego sprawę, nie zhakowano głównej infrastruktury, baz danych ani kont klientów Revolut. Firma przekazała też, że jej systemy i środki klientów nie ucierpiały. 12

To ważne rozróżnienie. Potwierdzone zdarzenie polegało na ujawnieniu danych wywołanym fałszywymi wnioskami, a nie na potwierdzonym technicznym wtargnięciu do systemów kont lub baz danych firmy. Publicznie dostępne informacje nie pozwalają niezależnie potwierdzić wszystkich technicznych szczegółów, dlatego pełnej skali zdarzenia nie należy przedstawiać jako ustalonego faktu. 12

Zgłoszone żądanie 3 mln dolarów

Jak podał Reuters, powołując się na „Financial Times”, osoby przypisujące sobie odpowiedzialność zagroziły sprzedażą poufnych danych setek klientów Revolut grupom przestępczym, jeśli firma nie zapłaci 3 mln dolarów w ciągu 24 godzin. 2

Inne publikacje wskazują, że żądanie opiewało na 6 tys. Monero (XMR) — kryptowaluty wycenianej wtedy na około 3 mln dolarów — oraz przypisują je grupie „iamnotavillain”. Według tych relacji grupa opublikowała ultimatum w internecie wraz z odliczaniem i twierdziła, że nie doszło do negocjacji. 46

Są to jednak twierdzenia pochodzące od domniemanych sprawców lub im przypisywane. Nie dowodzą ani autentyczności tożsamości grupy, ani tego, że dysponuje ona pełnym zbiorem deklarowanych danych, ani że byłaby w stanie zrealizować groźbę sprzedaży. Informacja Revolut, że firma nie otrzymała bezpośredniego żądania, dodatkowo zwiększa niepewność co do statusu publicznego ultimatum. 26

Co wiadomo, a czego jeszcze nie potwierdzono

Ustalenia oparte na oświadczeniu Revolut i głównych relacjach medialnych

• Fałszywe wnioski wysłane z prawdziwej domeny e-mail instytucji publicznej doprowadziły do nieuprawnionego ujawnienia wrażliwych danych klientów. 1
• Revolut twierdzi, że jego systemy i środki klientów nie zostały naruszone. 1
• Reuters podał, że Revolut nie miał bezpośredniego kontaktu z domniemanymi sprawcami i nie otrzymał od nich żądania okupu. 2
• Doniesienia wskazują, że sprawa dotyczy około 680 klientów. 24

Informacje niezweryfikowane lub zależne od twierdzeń domniemanych sprawców

• Czy „iamnotavillain” to faktycznie osoba lub grupa odpowiedzialna za ujawnienie danych. 26
• Czy grupa posiada pełen zestaw danych, który twierdzi, że ma. 26
• Czy jakiekolwiek dane zostały sprzedane, udostępnione lub wykorzystane przez kolejne grupy przestępcze. 2
• Jaki był pełny techniczny i operacyjny ciąg zdarzeń, przez który fałszywe wnioski zostały uznane za wiarygodne. 12

Najważniejszy wniosek

Dostępne dowody prowadzą do węższego, ale poważnego wniosku: Revolut ujawnił wrażliwe dane klientów po tym, jak został wprowadzony w błąd przez fałszywe wnioski wyglądające na wysłane z legalnej domeny instytucji publicznej. Firma zaprzecza, by doszło do naruszenia jej głównej infrastruktury lub kont klientów. 12

Żądanie 3 mln dolarów w Monero, 24-godzinny termin, licznik odliczający czas i przypisanie sprawy grupie „iamnotavillain” były opisywane publicznie, ale nadal są zarzutami związanymi z domniemanymi sprawcami. Dopóki nie zostaną niezależnie potwierdzone, należy odróżniać je od ujawnienia danych, które Revolut potwierdził. 26