Revolut müşteri verisi olayı: Doğrulananlar, 3 milyon dolarlık fidye iddiası ve belirsiz noktalar

Revolut, meşru bir kamu kurumu e-posta alan adından gönderilmiş gibi görünen sahte talepler nedeniyle hassas müşteri bilgilerinin yetkisiz bir üçüncü tarafa açıklandığını doğruladı. Şirket bu olayı, çekirdek sistemlerine yönelik doğrulanmış bir siber saldırı olarak değil, dışarıdan gerçekleştirilen gelişmiş bir kimliğe bürünme ya da sosyal mühendislik dolandırıcılığı olarak tanımlıyor. 12

Olayın ardından kendisini “iamnotavillain” olarak adlandıran bir grup kamuya açık biçimde fidye talebinde bulunduğunu öne sürdü. Ancak kritik nokta şu: Revolut, Reuters’a açıklamasında sorumluluğu üstlenen kişi veya gruptan doğrudan herhangi bir temas ya da fidye talebi almadığını söyledi. 2

Revolut’un doğruladığı bilgiler

Reuters’ın aktardığı Revolut açıklamasına göre dolandırıcılar, meşru bir kamu kurumu e-posta alan adını kullanarak müşteri bilgilerine ilişkin yanıltıcı talepler gönderdi. Revolut, talebin sahte olduğunu fark etmeden önce hassas bilgileri yetkisiz bir üçüncü tarafa açıkladı. 1

Şirket, etkilenen müşterilere bildirim gönderildiğini ve ilk açıklamasında sayının “çok sınırlı” olduğunu belirtti. Reuters ise olayın yaklaşık 680 müşteriyi ilgilendirdiğinin anlaşıldığını bildirdi; bu sayı Revolut’un ilk kamu açıklamasında yer almadı. 12

Etkilenen müşterilere gönderilen bildirimlere dayanan haberlere göre açığa çıkan veriler; doğum tarihi, adres, telefon numarası ve kimlik belgelerinin kopyaları gibi kimlik ve iletişim bilgilerini içerebilir. TechCrunch, doğrulama için kullanılan özçekimler, hesap ekstreleri ve diğer hesapla ilgili materyallerin de veriler arasında bulunmuş olabileceğini yazdı. 5

Revolut’un altyapısı hacklendi mi?

Revolut’un açıklaması ve konuya yakın bir kaynağın aktardıklarına göre, Revolut’un çekirdek altyapısı, veritabanları ve müşteri hesapları hacklenmedi. Şirket ayrıca sistemlerinin ve müşteri fonlarının etkilenmediğini belirtti. 12

Bu ayrım önemli: Doğrulanan olay, hesap sistemlerine veya veritabanlarına teknik yolla girilmesi değil; sahte görünen resmî bilgi talepleri sonucunda gerçekleşen bir veri açıklaması. Olayın tüm teknik ayrıntıları kamuya açık ve bağımsız biçimde ortaya konmuş değil; bu nedenle kapsamı olduğundan geniş göstermemek gerekiyor. 12

Bildirilen 3 milyon dolarlık talep

Reuters’ın Financial Times haberine dayandırdığı bilgiye göre, sorumluluğu üstlenen kişiler Revolut’a 24 saat içinde 3 milyon dolar ödenmemesi hâlinde yüzlerce müşteriye ait gizli kaydı başka suç gruplarına satmakla tehdit etti. 2

Diğer haberlerde istenen tutar, o dönemde yaklaşık 3 milyon dolar değerindeki 6.000 Monero (XMR) olarak verildi. “iamnotavillain” adıyla anılan grubun, geri sayım sayacı eşliğinde çevrim içi bir ültimatom yayımladığı ve müzakere yapılmadığını öne sürdüğü bildirildi. 46

Bunlar saldırgan olduğu iddia edilen tarafın beyanları veya bu beyanlara dayandırılan haberlerdir. Grubun gerçekten olayın arkasında olduğu, iddia ettiği kayıtların tamamına sahip bulunduğu ya da satış tehdidini gerçekleştirebileceği bu bilgilerle kanıtlanmış değil. Revolut’un doğrudan fidye talebi almadığını söylemesi de kamuya açık ültimatomun niteliğine ilişkin belirsizliği artırıyor. 26

Bilinenler ve henüz doğrulanmayanlar

Revolut açıklaması ve büyük haber kuruluşlarının aktardıklarıyla desteklenenler

• Meşru bir kamu kurumu e-posta alan adından gönderilen sahte talepler, hassas müşteri verilerinin yetkisiz şekilde açıklanmasına yol açtı. 1
• Revolut, sistemlerinin ve müşteri fonlarının etkilenmediğini belirtiyor. 1
• Reuters’a göre Revolut’un iddia edilen faillerle doğrudan teması veya kendisine iletilmiş bir fidye talebi yok. 2
• Haberlerde etkilenen müşteri sayısı yaklaşık 680 olarak yer alıyor. 24

Hâlâ doğrulanmayan veya saldırgan iddialarına dayananlar

• “iamnotavillain”in veri açıklamasından sorumlu kişi ya da grup olup olmadığı. 26
• Grubun iddia ettiği kayıtların tamamını elinde tutup tutmadığı. 26
• Verilerin başka suç gruplarına satılıp satılmadığı, paylaşılıp paylaşılmadığı veya başka şekilde kullanılıp kullanılmadığı. 2
• Sahte taleplerin inandırıcı görünmesini sağlayan teknik ve operasyonel sürecin tüm ayrıntıları. 12

Sonuç

Mevcut kanıtların desteklediği sonuç dar kapsamlı ama ciddi: Revolut, meşru bir kamu kurumu alan adından gelmiş gibi görünen sahte taleplerle kandırıldıktan sonra hassas müşteri verilerini yetkisiz bir tarafa açıkladı. Şirket, çekirdek altyapısının veya müşteri hesaplarının ihlal edildiği iddiasını kabul etmiyor. 12

3 milyon dolarlık Monero talebi, 24 saatlik süre, geri sayım sayacı ve “iamnotavillain” adı kamuya açık haberlerde yer alıyor; ancak bunlar iddia edilen saldırganlarla bağlantılı ve henüz bağımsız biçimde doğrulanmamış unsurlar. Bu iddialar teyit edilene kadar, Revolut’un doğruladığı veri açıklaması olayından ayrı değerlendirilmelidir. 26