Revolut bekräftar datalämnande – men inte något intrång i kärnsystemen

Revolut har bekräftat att känsliga kunduppgifter lämnades ut till en obehörig tredje part efter att bolaget fått falska förfrågningar från en legitim e-postdomän som tillhör en myndighet. Revolut beskriver händelsen som ett externt utgivarbedrägeri, eller social engineering – inte som ett bekräftat intrång i bolagets kärnsystem. 12

Händelsen har samtidigt följts av ett offentligt påstående om utpressning från en grupp som använder namnet ”iamnotavillain”. En avgörande reservation är dock att Revolut enligt Reuters inte har fått någon direkt kontakt eller något lösenkrav från personerna som säger sig ligga bakom händelsen. 2

Det här har Revolut bekräftat

Enligt Revoluts uttalande, som återgavs av Reuters, använde bedragare en legitim myndighetsdomän för att skicka vilseledande förfrågningar om kunduppgifter. Revolut lämnade därefter ut känslig information till en obehörig part innan bedrägeriet upptäcktes. 1

Bolaget uppgav att berörda kunder hade underrättats och beskrev först antalet som ”mycket begränsat”. Reuters rapporterade senare att omkring 680 kunder bedöms vara berörda, men den siffran angavs inte i Revoluts första offentliga uttalande. 12

Uppgifter från meddelanden till berörda kunder tyder på att den exponerade informationen kan omfatta identitets- och kontaktuppgifter, exempelvis födelsedatum, adresser, telefonnummer och kopior av identitetshandlingar. TechCrunch rapporterade att materialet även kan ha omfattat selfies som använts för identitetsverifiering, kontoutdrag och annan kontorelaterad information. 5

Hackades Revoluts system?

Utifrån Revoluts egen beskrivning och rapportering från en källa med insyn i ärendet hackades inte Revoluts kärninfrastruktur, databaser eller kundkonton. Revolut har också sagt att bolagets system och kundernas medel inte påverkades. 12

Skillnaden är väsentlig: Det bekräftade händelseförloppet är ett datalämnande som framkallades med falska förfrågningar, inte ett bekräftat tekniskt intrång i konto- eller databassystemen. Den offentliga rapporteringen fastställer inte varje teknisk detalj, och händelsens fulla omfattning bör därför inte överdrivas. 12

Uppgifterna om ett krav på 3 miljoner dollar

Financial Times rapporterade, enligt Reuters, att aktörerna som påstår sig ha utfört angreppet hotat att sälja konfidentiella uppgifter om hundratals Revolut-kunder till andra kriminella grupper om bolaget inte betalade 3 miljoner dollar inom 24 timmar. 2

Andra rapporter anger kravet till 6 000 Monero (XMR), värt omkring 3 miljoner dollar vid tidpunkten, och pekar ut den påstådda aktören som ”iamnotavillain”. Gruppen ska ha publicerat sitt ultimatum på nätet tillsammans med en nedräkningsklocka och uppgett att några förhandlingar inte hade förekommit. 46

Detta är påståenden från, eller uppgifter som tillskrivs, de misstänkta angriparna. De bevisar inte att gruppen verkligen är den som ligger bakom datalämnandet, att den har samtliga uppgifter den hävdar sig ha eller att den kan genomföra den hotade försäljningen. Att Revolut säger sig inte ha mottagit något direkt krav gör statusen för det offentliga ultimatumet ännu mer osäker. 26

Bekräftat och fortfarande obekräftat

Stöds av Revoluts uttalande och etablerad rapportering

• Falska förfrågningar som skickades från en legitim myndighetsdomän ledde till att känsliga kunduppgifter lämnades ut obehörigen. 1
• Revolut uppger att bolagets system och kundernas medel inte påverkades. 1
• Reuters rapporterade att Revolut inte haft någon direkt kontakt eller mottagit något lösenkrav från de påstådda gärningspersonerna. 2
• Rapporter uppskattar antalet berörda kunder till omkring 680. 24

Obekräftat eller beroende av angriparnas egna påståenden

• Om ”iamnotavillain” verkligen är personen eller gruppen bakom datalämnandet. 26
• Om gruppen har hela det material den påstår sig förfoga över. 26
• Om några uppgifter har sålts, delats eller använts av andra kriminella grupper. 2
• Den fullständiga tekniska och operativa kedjan som gjorde de falska förfrågningarna trovärdiga. 12

Slutsats

Det tillgängliga underlaget pekar på en avgränsad men allvarlig händelse: Revolut lämnade ut känsliga kunduppgifter efter att ha vilseletts av bedrägliga förfrågningar som såg ut att komma från en legitim myndighetsdomän. Revolut bestrider att bolagets kärninfrastruktur eller kundkonton utsatts för intrång. 12

Kravet på 3 miljoner dollar i Monero, tidsfristen på 24 timmar, nedräkningsklockan och kopplingen till ”iamnotavillain” har rapporterats offentligt, men är fortsatt anklagelser knutna till de påstådda angriparna. Tills uppgifterna har bekräftats oberoende bör de hållas isär från det datalämnande som Revolut faktiskt har bekräftat. 26