Утечка данных Revolut: мошенники использовали настоящий домен госоргана

Revolut сообщил, что передал конфиденциальную информацию о клиентах неуполномоченной третьей стороне после того, как получил мошеннические запросы с адреса в настоящем домене государственного ведомства. Раскрытие информации 12 сентября важно по одной причине: злоумышленникам, судя по имеющимся данным, не потребовалось взламывать ключевые системы компании — они воспользовались доверием к официально выглядящему каналу связи. Revolut утверждает, что уведомил затронутых клиентов, а его системы и средства пользователей не пострадали. 134

Что подтвердил Revolut

Компания подтвердила, что фальшивые запросы на предоставление информации были отправлены с адреса в легитимном домене госоргана. В результате сведения о клиентах были переданы посторонней стороне. Revolut назвал произошедшее «сложной внешней схемой с подменой личности», заявил, что после обнаружения заблокировал этот адрес и уведомил компетентные органы. 13448

Это важное уточнение. Имеющиеся публикации не подтверждают, что злоумышленники проникли в основную банковскую инфраструктуру Revolut или получили доступ к деньгам клиентов. Однако они подтверждают, что была обманута процедура обработки чувствительных внешних запросов. 134

Как работала подмена

Подтверждённый факт состоит в том, что запросы пришли с реального домена государственного ведомства. Технически подлинный на вид домен отправителя способен сделать мошенническое обращение похожим на обычный служебный запрос — особенно если сотрудники быстро обрабатывают юридические запросы или обращения правоохранительных органов. 135

В последующих публикациях отправителя связывали с итальянской инфраструктурой сертифицированной электронной почты PEC и доменом МВД Италии pec.interno.it. Но Revolut и итальянские власти не подтвердили эту атрибуцию в доступных материалах. Поэтому её следует считать журналистской версией, а не установленной схемой атаки. 37

Главный вывод: одного лишь настоящего домена в электронном письме недостаточно, чтобы считать требование о выдаче особо чувствительных данных законным. Такой запрос необходимо независимо перепроверять через заранее известный канал связи с ведомством и передавать на дополнительное согласование до выдачи записей.

Сколько клиентов затронуто

Изначально Revolut говорил об «очень ограниченном» числе клиентов и не раскрывал конкретную цифру. 1

Позднее СМИ сообщали примерно о 680 клиентах по всему миру, включая 12 клиентов из Ирландии. В первоначальном заявлении Revolut это число публично не подтверждал, поэтому его следует воспринимать как данные СМИ, а не как официально объявленную компанией цифру. 33

Также распространялось заявление предполагаемого злоумышленника, будто доступ к итальянским правоохранительным системам использовался около шести месяцев. Это непроверенное утверждение самого атакующего, а не вывод Revolut или властей. 3637

Какие данные могли раскрыть

Согласно уведомлениям клиентам, с которыми ознакомился TechCrunch, переданные данные включали идентификационные и контактные сведения: даты рождения, почтовые и электронные адреса, номера телефонов, копии паспортов или водительских удостоверений. В уведомлении также говорилось, что могли быть затронуты селфи для верификации, выписки по счетам и истории операций. 35

Другие публикации упоминали IBAN, сведения о снятии средств и активность, связанную с транзакциями Bitcoin. 510

Такое сочетание особенно опасно: документы могут использоваться для выдачи себя за другого человека и мошенничества при восстановлении доступа к аккаунтам, а контактные и финансовые сведения делают фишинговые сообщения гораздо более убедительными.

Почему история Bitcoin усиливает риск

Имя, адрес, документ и верификационное селфи могут связать реального человека с финансовой активностью. Если в утечке есть история транзакций Bitcoin, это потенциально упрощает сопоставление проверенной офлайн-личности с операциями, видимыми в публичном блокчейне. 1035

Это не означает, что каждый кошелёк или будущая операция автоматически будут отнесены к конкретному человеку. Но такая связка повышает риск адресного фишинга, кражи личности, попыток давления и мошенничества против тех, кого могут посчитать владельцами криптоактивов. В отличие от пароля, документы и прежние записи в блокчейне нельзя просто заменить после утечки.

Публикации данных, известные имена и заявленный выкуп

По сообщениям СМИ, атакующие начали публиковать клиентские материалы и угрожать новыми утечками. В публикациях упоминались файлы, якобы принадлежащие теннисисту Александру Шевченко и генеральному директору Gamdom Феликсу Рёмеру; Cointelegraph сообщил, что Рёмер прокомментировал появление своих данных в утечке. 2

В постах и вторичных публикациях также фигурировало требование 10 000 BTC — примерно 780 млн долларов на тот момент. Revolut и правоохранительные органы не подтверждали ни само требование, ни переговоры о выкупе. Поэтому это следует считать неподтверждённым заявлением о вымогательстве. 1213

Что делать затронутым клиентам

Если вы получили уведомление от Revolut, сохраните его и следуйте указаниям компании, проверяя их через официальное приложение или официальный сайт. Особенно осторожно относитесь к сообщениям, в которых называют ваши персональные данные, представляются Revolut или регулятором и требуют срочных действий «для защиты счёта».

Полезные меры предосторожности:

• сменить пароль Revolut и пароль от почты, если они повторяются в других сервисах; включить наиболее надёжную доступную многофакторную аутентификацию;
• считать подозрительными любые неожиданные звонки, SMS и письма — даже если в них указаны реальные личные данные;
• никому не сообщать одноразовые коды, резервные коды восстановления или seed-фразы;
• отслеживать неожиданные операции по банковским картам, счетам и криптобиржам, а также фиксировать подозрительные контакты;
• при компрометации документов учитывать риск будущего мошенничества с личностью, а не считать проблему исчерпанной после перевыпуска карты.

В Великобритании Управление комиссара по информации (ICO) советует при опасениях, что организация недостаточно защитила персональные данные, сначала обратиться к самой организации; у регулятора также есть публичные каналы поддержки по вопросам защиты данных. 23

Урок для финансовых компаний

Инцидент показывает, что для запросов от государственных органов и правоохранителей недостаточно проверить домен отправителя. В число разумных защитных мер входят независимый обратный звонок по контактам из надёжного справочника, согласование особо чувствительных раскрытий несколькими сотрудниками, минимизация передаваемых данных, журналирование запросов и понятные правила распознавания социальной инженерии с апелляцией к авторитету.

Для клиентов вывод столь же прост: официальный на вид адрес электронной почты — это повод для проверки, а не доказательство подлинности. При утечке документов и финансовой истории последующее мошенничество может оказаться опаснее первоначальной передачи данных.

Что пока неизвестно

Имеющиеся свидетельства подтверждают, что Revolut передал клиентские данные после мошеннических запросов с адреса в легитимном государственном домене. По заявлению компании, её основные системы и средства клиентов не были затронуты. 1

Но ряд важных вопросов остаётся без ответа: точная роль инфраструктуры PEC, предполагаемая шестимесячная длительность операции, окончательное число затронутых клиентов, заявления атакующих о доступе к итальянским системам и статус возможных мер британских регуляторов. Без официального подтверждения эти сведения нельзя представлять как установленные факты. 133637