Что известно о раскрытии данных клиентов Revolut и требовании $3 млн

Revolut подтвердил, что конфиденциальная информация клиентов была передана неуполномоченной третьей стороне после того, как компания получила мошеннические запросы с использованием настоящего почтового домена государственного органа. В Revolut характеризуют произошедшее как внешнюю схему выдачи себя за другое лицо и социальной инженерии, а не как подтверждённый взлом ключевых систем компании. 12

История получила продолжение из-за публичного заявления о выкупе от группы, называющей себя «iamnotavillain». Однако важно разделять факты и утверждения: Revolut сообщил Reuters, что не получал от людей, заявляющих о своей причастности, ни прямого контакта, ни требования выкупа. 2

Что Revolut подтверждает

По данным заявления Revolut, о котором сообщал Reuters, мошенники направили запросы на выдачу данных клиентов с легитимного почтового домена государственного ведомства. Компания передала чувствительную информацию посторонней стороне, прежде чем обнаружила обман. 1

Revolut уведомил затронутых клиентов и первоначально назвал их число «очень ограниченным». Позднее Reuters сообщил, что речь, предположительно, идёт примерно о 680 клиентах, хотя в первом публичном заявлении компании точное число не раскрывалось. 12

Судя по уведомлениям, полученным пострадавшими клиентами, раскрытые сведения могли включать идентификационные и контактные данные: даты рождения, адреса, номера телефонов и копии документов, удостоверяющих личность. TechCrunch также сообщал, что среди данных могли быть селфи для верификации, выписки по счетам и иные материалы, связанные с аккаунтом. 5

Были ли взломаны системы Revolut?

Согласно позиции Revolut и информации источника Reuters, знакомого с ситуацией, основная инфраструктура Revolut, базы данных и клиентские аккаунты не были взломаны. Компания также заявила, что её системы и средства клиентов не пострадали. 12

Это принципиальное различие: подтверждённый инцидент представляет собой раскрытие данных, к которому привели мошеннические запросы, а не установленное техническое проникновение в базы данных или системы управления аккаунтами. При этом публичные сообщения не позволяют независимо восстановить все технические детали, поэтому масштаб и механизм инцидента не следует преувеличивать. 12

Что известно о требовании $3 млн

Financial Times, как передавал Reuters, сообщил: лица, заявившие о своей причастности к инциденту, угрожали продать конфиденциальные записи сотен клиентов Revolut другим преступным группам, если компания не выплатит $3 млн в течение 24 часов. 2

В других публикациях фигурирует сумма 6 000 Monero (XMR) — на тот момент около $3 млн — и имя предполагаемой группы «iamnotavillain». По этим сообщениям, ультиматум был опубликован онлайн вместе с таймером обратного отсчёта; также группа утверждала, что переговоров не было. 46

Но эти детали основаны на заявлениях предполагаемых атакующих или пересказах таких заявлений. Они не доказывают ни подлинность личности «iamnotavillain», ни наличие у группы полного набора заявленных записей, ни способность реализовать угрозу продажи. Сообщение Revolut об отсутствии прямого требования выкупа добавляет неопределённости в вопрос о статусе публичного ультиматума. 26

Что известно точно, а что пока не подтверждено

Подтверждено заявлением Revolut и крупными СМИ

• Мошеннические запросы, отправленные с легитимного почтового домена государственного органа, привели к несанкционированному раскрытию чувствительных данных клиентов. 1
• Revolut утверждает, что его системы и средства клиентов не пострадали. 1
• По данным Reuters, Revolut не получал прямого контакта или требования выкупа от предполагаемых виновников. 2
• В публикациях число затронутых клиентов оценивается примерно в 680. 24

Не подтверждено независимо либо зависит от утверждений атакующих

• Действительно ли «iamnotavillain» стоит за раскрытием данных. 26
• Есть ли у этой группы весь массив записей, которым она, по её словам, располагает. 26
• Были ли данные проданы, переданы или использованы другими преступными группами. 2
• Полная техническая и организационная цепочка, из-за которой поддельные запросы выглядели убедительно. 12

Главное

Доступные данные позволяют сделать более узкий, но серьёзный вывод: Revolut раскрыл конфиденциальные данные клиентов после того, как был введён в заблуждение запросами, выглядевшими как обращения с настоящего правительственного почтового домена. Компания отрицает взлом своей основной инфраструктуры или клиентских аккаунтов. 12

Требование $3 млн в Monero, срок в 24 часа, таймер обратного отсчёта и имя «iamnotavillain» были описаны в публичных сообщениях, но пока остаются утверждениями, связанными с предполагаемыми злоумышленниками. До независимого подтверждения их следует рассматривать отдельно от факта раскрытия данных, который признал Revolut. 26