Revoluts dataläcka: falska myndighetsbegäran lämnade ut kunduppgifter

Revolut uppger att en obehörig part fick tillgång till känsliga kunduppgifter sedan företaget svarat på bedrägliga informationsbegäran som skickats från en legitim myndighetsdomän. När bolaget offentliggjorde händelsen den 12 september var den viktiga detaljen att angriparna enligt uppgifterna inte behövde ta sig in i Revoluts kärnsystem – de utnyttjade i stället förtroendet för en officiellt utseende kommunikationskanal. Revolut säger att berörda kunder har kontaktats och att vare sig kundmedel eller bolagets system påverkades. 134

Det Revolut har bekräftat

Revolut har bekräftat att falska informationsbegäran kom från en e-postadress på en legitim myndighetsdomän och ledde till att kundinformation lämnades ut till en obehörig tredje part. Bolaget beskriver händelsen som ett ”sofistikerat externt identitetsbedrägeri”, säger att adressen blockerades när incidenten upptäcktes och att relevanta myndigheter underrättades. 13448

Detta är en viktig avgränsning. Den tillgängliga rapporteringen visar inte att angripare brutit sig in i Revoluts centrala bankinfrastruktur eller fått åtkomst till kundernas pengar. Däremot visar den att bolagets rutiner för känsliga externa informationsbegäran kunde vilseledas. 134

Så ska utgivningen av data ha gått till

Det bekräftade är begränsat men allvarligt: begärandena kom via en verklig myndighetsdomän. En tekniskt autentisk avsändardomän kan få en förfalskad begäran att se rutinmässig ut, särskilt när team hanterar juridiska krav eller förfrågningar från rättsväsendet under tidspress. 135

Senare rapportering har kopplat avsändaren till Italiens PEC-system för certifierad e-post och inrikesministeriets domän pec.interno.it. Revolut eller italienska myndigheter har dock inte oberoende bekräftat den kopplingen i det tillgängliga underlaget. Den ska därför ses som ett rapporterat spår, inte som en fastställd beskrivning av attacken. 37

Lärdomen är att en korrekt domän i ett e-postmeddelande inte ensam räcker som bevis för att ett krav på mycket känsliga data är legitimt. Begäran bör verifieras via en sedan tidigare känd kontaktväg hos myndigheten och omfattas av eskaleringsrutiner innan uppgifter lämnas ut.

Hur många kunder berördes?

Revolut sade först att en ”mycket begränsad” grupp kunder hade berörts, utan att offentliggöra någon siffra. 1

Senare rapportering har angett omkring 680 kunder globalt, varav 12 irländska kunder. Revolut bekräftade inte den siffran i sitt första uttalande, vilket innebär att den bör beskrivas som rapporterad snarare än som en siffra direkt publicerad av företaget. 33

Det har också rapporterats om ett påstående från angriparen att operationen omfattade åtkomst till italienska brottsbekämpande system under cirka sex månader. Det är ett obekräftat påstående från den påstådda hotaktören – inte ett fastställt resultat från Revolut eller myndigheter. 3637

Vilka uppgifter kan ha exponerats?

Kundmeddelanden som TechCrunch tagit del av uppgav att det utlämnade materialet inkluderade identitets- och kontaktuppgifter, såsom födelsedatum, post- och e-postadresser, telefonnummer samt kopior av pass eller körkort. Informationen kan även ha omfattat verifieringsselfies, kontoutdrag och transaktionshistorik. 35

Annan rapportering har nämnt IBAN-nummer, uppgifter om uttag och Bitcoin-transaktioner bland det material som påstås ha erhållits. 510

Tillsammans är det en särskilt känslig kombination. Identitetshandlingar kan användas i identitetsbedrägerier och vid försök att ta över konton, medan kontakt- och finansuppgifter kan göra nätfiske mycket mer övertygande.

Därför ökar Bitcoin-uppgifter risken

Namn, adress, identitetshandling och verifieringsselfie kan knyta en verklig person till ekonomisk aktivitet. Om Bitcoin-transaktionshistorik ingår kan läckan göra det enklare att koppla verifierade identitetsuppgifter till aktivitet som är synlig i en offentlig blockkedja. 1035

Det innebär inte att varje plånbok eller framtida transaktion automatiskt kan knytas till personen. Men kombinationen kan öka risken för riktat nätfiske, identitetsbedrägerier, utpressningsförsök och bedrägerier mot personer som uppfattas äga kryptotillgångar. Till skillnad från ett lösenord går identitetshandlingar och historiska blockkedjeuppgifter inte bara att byta ut efter en läcka.

Publicerade uppgifter och det påstådda lösenkravet

Angriparna uppgavs ha börjat publicera kundmaterial och hotat med fler publiceringar. Rapportering pekade ut filer som påstods tillhöra tennisspelaren Alexander Shevchenko och Gamdoms vd Felix Römer. Cointelegraph rapporterade att Römer kommenterade efter att hans uppgifter förekommit i läckan. 2

Ett påstått krav på 10 000 BTC, vilket vid tidpunkten uppgavs motsvara ungefär 780 miljoner dollar, har spridits i inlägg och sekundärrapportering. Revolut har inte bekräftat kravet, och det har inte heller rättsväsendet gjort i det citerade underlaget. Det bör därför betraktas som ett obekräftat utpressningspåstående, inte som en bekräftad lösensummeförhandling. 1213

Vad berörda kunder bör göra

Kunder som har fått ett meddelande från Revolut bör spara det och följa bolagets officiella instruktioner. De bör också vara extra vaksamma på meddelanden som använder personliga uppgifter, påstår sig komma från Revolut eller en tillsynsmyndighet, eller försöker skapa brådska kring kontosäkerhet.

Praktiska skyddsåtgärder är bland annat:

• Byt lösenord för Revolut och e-post om de återanvänds någon annanstans, och aktivera den starkaste tillgängliga flerfaktorsautentiseringen.
• Utgå från att oombedda samtal, sms och e-postmeddelanden kan vara bedrägerier – även om de innehåller korrekta personuppgifter.
• Lämna aldrig ut engångskoder, återställningskoder eller seed phrases till någon som ringer eller skriver till dig.
• Håll uppsikt över bank-, kort- och kryptobörskonton, och dokumentera oväntade händelser eller misstänkta kontakter.
• Om identitetshandlingar kan ha läckt bör man räkna med en långsiktig risk för identitetsbedrägerier, inte anta att risken försvinner när ett kort spärras eller byts ut.

I Storbritannien råder Information Commissioner’s Office (ICO), landets dataskyddsmyndighet, personer som misstänker att en organisation inte hållit deras information säker att först kontakta organisationen. Myndigheten erbjuder även offentliga stödkanaler i dataskyddsfrågor. 23

Lärdomen för finansbolag

Händelsen visar varför känsliga myndighets- eller rättsväsendeförfrågningar måste kontrolleras på fler sätt än genom avsändardomänen. Skydd kan exempelvis vara oberoende återuppringning via kontaktuppgifter i betrodda kataloger, dubbel godkännande av särskilt känsliga utlämnanden, strikt dataminimering, spårbara register över alla begäran och tydliga rutiner för att upptäcka social manipulation som bygger på påstådd myndighetsauktoritet.

För kunder är slutsatsen lika enkel: en officiellt utseende e-postadress är något som ska granskas, inte ett bevis som automatiskt ska litas på. När en läcka omfattar identitetshandlingar och finansiell historik kan efterföljande bedrägerier bli mer skadliga än själva det ursprungliga utlämnandet.

Vad som fortfarande är oklart

Underlaget bekräftar att Revolut lämnade ut kunddata efter bedrägliga begäran från en legitim myndighetsdomän och att bolagets kärnsystem samt kundernas pengar inte påverkades, enligt företaget. 1

Viktiga detaljer är fortfarande olösta i den tillhandahållna rapporteringen: PEC-infrastrukturens exakta roll, den påstådda tidslinjen på sex månader, det fullständiga antalet drabbade kunder, angriparnas påstådda åtkomst till italienska system och statusen för eventuella åtgärder från brittiska tillsynsmyndigheter. Dessa uppgifter bör inte beskrivas som fastställda fakta utan officiell bekräftelse. 133637