Revolut ujawnił dane klientów po oszustwie z użyciem prawdziwej rządowej domeny

Revolut poinformował, że nieuprawniona osoba uzyskała wrażliwe informacje o klientach po tym, jak firma odpowiedziała na fałszywe żądania przesłane z adresu należącego do prawdziwej domeny instytucji rządowej. W komunikacie z 12 września wskazano, że oszuści nie musieli włamywać się do podstawowych systemów Revolut — wykorzystali wiarygodność oficjalnie wyglądającego kanału kontaktu. Firma podała, że powiadomiła dotkniętych klientów, a jej systemy i środki klientów nie zostały naruszone. 134

Co potwierdził Revolut

Według Revolut fałszywe wnioski o informacje przyszły z adresu e-mail w legalnej domenie instytucji publicznej. W konsekwencji dane klientów przekazano nieuprawnionej stronie trzeciej. Firma nazwała zdarzenie „wyrafinowanym zewnętrznym oszustwem polegającym na podszywaniu się”, zablokowała użyty adres po wykryciu incydentu i zawiadomiła odpowiednie organy. 13448

To ważne rozróżnienie: dostępne materiały nie potwierdzają włamania do głównej infrastruktury bankowej Revolut ani dostępu do pieniędzy klientów. Potwierdzają natomiast, że oszukano procedurę obsługi wrażliwych wniosków zewnętrznych. 134

Na czym polegało podszycie się

Potwierdzony element jest prosty, ale istotny: żądania wysłano z prawdziwej domeny rządowej. Dla zespołu, który sprawnie obsługuje wnioski organów ścigania lub formalne żądania prawne, taki technicznie wiarygodny adres nadawcy może wyglądać jak rutynowa korespondencja. 135

Część późniejszych publikacji łączyła nadawcę z włoskim systemem certyfikowanej poczty elektronicznej PEC oraz domeną pec.interno.it włoskiego Ministerstwa Spraw Wewnętrznych. Revolut ani włoskie władze nie potwierdziły jednak niezależnie tych ustaleń w dostępnych materiałach. Należy więc traktować je jako opisywany trop, a nie ustalony przebieg ataku. 37

Wniosek jest jasny: autentyczność domeny e-mail nie wystarcza jako dowód, że żądanie wydania wyjątkowo wrażliwych danych jest prawdziwe. Taki wniosek powinien być niezależnie sprawdzony przez znany kanał kontaktu z daną instytucją i objęty procedurą eskalacji przed przekazaniem dokumentów.

Ilu klientów dotyczy incydent?

Początkowo Revolut podał jedynie, że sprawa dotyczy „bardzo ograniczonej” liczby klientów, nie ujawniając konkretnej liczby. 1

Późniejsze doniesienia mówiły o około 680 klientach na świecie, w tym o 12 osobach w Irlandii. Revolut nie potwierdził publicznie tej liczby w pierwotnym oświadczeniu, dlatego należy ją traktować jako informację raportowaną przez media, a nie oficjalny bilans firmy. 33

Pojawiło się też twierdzenie sprawców, że przez około sześć miesięcy mieli dostęp do włoskich systemów organów ścigania. Jest to niezweryfikowana deklaracja osoby lub grupy podającej się za atakujących, a nie ustalenie potwierdzone przez Revolut albo władze. 3637

Jakie dane mogły zostać ujawnione

Zawiadomienia dla klientów, do których dotarł TechCrunch, wskazywały na ujawnienie danych identyfikacyjnych i kontaktowych: dat urodzenia, adresów pocztowych i e-mail, numerów telefonów oraz kopii paszportów lub praw jazdy. Wśród danych mogły znaleźć się także zdjęcia weryfikacyjne typu selfie, wyciągi z kont i historia transakcji. 35

Inne publikacje wymieniały numery IBAN, informacje o wypłatach oraz aktywność związaną z transakcjami bitcoinowymi. 510

To szczególnie wrażliwy zestaw. Dokument tożsamości może ułatwić podszywanie się pod ofiarę i oszustwa przy odzyskiwaniu dostępu do kont, zaś dane kontaktowe oraz finansowe pozwalają tworzyć znacznie bardziej przekonujące wiadomości phishingowe.

Dlaczego historia transakcji Bitcoin zwiększa ryzyko

Połączenie imienia i nazwiska, adresu, dokumentu tożsamości oraz selfie weryfikacyjnego może powiązać realną osobę z aktywnością finansową. Jeżeli w ujawnionych materiałach znalazła się historia transakcji Bitcoin, łatwiej może być zestawić zweryfikowaną tożsamość offline z aktywnością widoczną w publicznym blockchainie. 1035

Nie oznacza to, że każdy portfel ani każda przyszła transakcja automatycznie zostaną przypisane do konkretnej osoby. Taka kombinacja danych może jednak zwiększyć ryzyko precyzyjnego phishingu, kradzieży tożsamości, prób szantażu i oszustw wymierzonych w osoby postrzegane jako posiadacze kryptowalut. W przeciwieństwie do hasła, dokumentów tożsamości ani historycznych zapisów blockchaina nie da się po wycieku po prostu zmienić.

Publikacja danych i rzekomy okup

Według relacji atakujący zaczęli publikować materiały klientów i grozić kolejnymi ujawnieniami. Wśród opisywanych plików miały być dane tenisisty Alexandra Shevchenki oraz Felixa Römera, dyrektora generalnego Gamdom; Cointelegraph podał, że Römer skomentował sprawę po pojawieniu się jego danych w wycieku. 2

W postach i wtórnych publikacjach pojawiło się także żądanie 10 000 BTC, wyceniane wówczas na około 780 mln dolarów. Revolut ani organy ścigania nie potwierdziły takiego żądania, dlatego nie należy przedstawiać go jako potwierdzonych negocjacji okupowych. To niezweryfikowane twierdzenie dotyczące wymuszenia. 1213

Co powinni zrobić klienci

Osoby, które dostały powiadomienie od Revolut, powinny je zachować i stosować się do oficjalnych wskazówek firmy. Warto szczególnie uważać na wiadomości, które przywołują prawdziwe dane osobowe, podają się za Revolut lub regulatora albo wywierają presję czasu w sprawie rzekomego bezpieczeństwa konta.

Praktyczne kroki ostrożności:

• zmień hasło do Revolut i skrzynki e-mail, jeśli było używane także w innych serwisach, oraz włącz najsilniejszą dostępną metodę wieloskładnikowego uwierzytelniania;
• traktuj niezamówione telefony, SMS-y i e-maile jako podejrzane, nawet gdy zawierają prawdziwe dane;
• nie przekazuj rozmówcy ani nadawcy jednorazowych kodów, kodów odzyskiwania dostępu ani fraz seed;
• obserwuj rachunki bankowe, karty oraz konta na giełdach kryptowalut pod kątem nietypowej aktywności i zapisuj szczegóły podejrzanych kontaktów;
• jeśli ujawniono dokument tożsamości, uwzględnij ryzyko przyszłej kradzieży tożsamości — samo zastrzeżenie lub wymiana karty nie kończy problemu.

Brytyjski urząd ochrony danych ICO zaleca osobom zaniepokojonym niewłaściwym zabezpieczeniem danych przez organizację, by najpierw skontaktowały się z tą organizacją; udostępnia też kanały wsparcia w sprawach ochrony danych. 23

Lekcja dla firm finansowych

Incydent pokazuje, że przy żądaniach od organów państwowych lub ścigania nie wystarczy kontrola domeny nadawcy. Skuteczne zabezpieczenia mogą obejmować niezależne potwierdzenie telefoniczne przez dane z zaufanego katalogu, akceptację dwóch osób przy szczególnie wrażliwym udostępnieniu, minimalizację przekazywanych danych, rejestry umożliwiające audyt oraz jasne procedury rozpoznawania socjotechniki odwołującej się do autorytetu urzędu.

Dla klientów najważniejsza zasada brzmi równie prosto: oficjalnie wyglądający adres e-mail to sygnał do weryfikacji, a nie dowód, któremu należy bezwarunkowo ufać. Przy wycieku dokumentów tożsamości i historii finansowej późniejsze oszustwa mogą wyrządzić większą szkodę niż samo pierwsze ujawnienie.

Czego nadal nie wiadomo

Z dostępnych dowodów wynika, że Revolut przekazał dane klientów po fałszywych żądaniach wysłanych z legalnej domeny rządowej oraz że — według firmy — jej podstawowe systemy i środki klientów pozostały nienaruszone. 1

Niewyjaśnione pozostają m.in. dokładna rola systemu PEC, rzekomy sześciomiesięczny czas trwania operacji, pełna liczba poszkodowanych, deklarowany przez sprawców dostęp do włoskich systemów oraz ewentualne działania brytyjskich regulatorów. Bez oficjalnego potwierdzenia nie należy traktować tych kwestii jako rozstrzygniętych. 133637