Revolut, gerçek görünümlü kamu e-postasıyla gelen sahte taleplere kandı

Revolut, gerçek bir kamu kurumu e-posta alan adından gönderilen sahte bilgi taleplerine yanıt verilmesinin ardından hassas müşteri bilgilerinin yetkisiz bir üçüncü tarafa aktarıldığını açıkladı. Şirketin 12 Eylül tarihli duyurusu, saldırganların Revolut'un ana sistemlerine sızmak zorunda kalmadan, resmî görünen bir iletişim kanalına duyulan güveni kullandığını gösteriyor. Revolut, etkilenen müşterilerle iletişime geçtiğini; müşteri paralarının ve sistemlerinin etkilenmediğini belirtiyor. 134

Revolut neyi doğruladı?

Revolut, meşru bir kamu kurumu alan adındaki bir e-posta adresinden sahte bilgi talepleri geldiğini ve bunun sonucunda müşteri bilgilerinin yetkisiz bir üçüncü tarafa aktarıldığını doğruladı. Şirket olayı “gelişmiş bir dış kimliğe bürünme dolandırıcılığı” olarak niteledi; tespit sonrasında ilgili e-posta adresini engellediğini ve yetkili makamları bilgilendirdiğini söyledi. 13448

Buradaki ayrım önemli: Mevcut haberler, saldırganların Revolut'un çekirdek bankacılık altyapısını ihlal ettiğini veya müşteri fonlarına eriştiğini ortaya koymuyor. Buna karşılık, hassas dış talepleri işleme sürecinin aldatıldığı doğrulanmış durumda. 134

Sahte kimlik kullanımı nasıl işledi?

Doğrulanan kritik unsur şu: Talepler, gerçek bir kamu kurumu alan adına bağlı e-posta adresinden geldi. Teknik olarak geçerli görünen bir gönderen alan adı, özellikle hukuki veya kolluk taleplerini hızlı işleyen ekipler için bu tür mesajları rutin ve güvenilir gösterebilir. 135

Sonraki bazı haberlerde gönderenin, İtalya'daki PEC sertifikalı e-posta altyapısı ve İçişleri Bakanlığına ait pec.interno.it alan adıyla bağlantılı olduğu öne sürüldü. Ancak bu bağlantı, eldeki materyalde Revolut veya İtalyan makamlarınca bağımsız olarak doğrulanmadı. Bu nedenle kesinleşmiş saldırı anlatısı olarak değil, haberle aktarılan bir iddia olarak değerlendirilmelidir. 37

Olayın temel dersi açık: Bir e-posta alan adının gerçek olması, son derece hassas veri talebinin meşru olduğunun tek başına kanıtı değildir. Talep, kurumun bilinen iletişim kanallarından bağımsız biçimde teyit edilmeli; kayıtlar paylaşılmadan önce ek onay ve eskalasyon kontrollerinden geçirilmelidir.

Kaç müşteri etkilendi?

Revolut ilk açıklamasında ihlalden “çok sınırlı” sayıda müşterinin etkilendiğini bildirdi, ancak rakam vermedi. 1

Daha sonraki haberlerde küresel toplamın yaklaşık 680 müşteri olduğu, bunların arasında 12 İrlandalı müşterinin bulunduğu belirtildi. Revolut bu sayıyı ilk açıklamasında kamuoyuna doğrulamadığı için, rakam şirketin doğrudan açıkladığı kesin bir sayı değil, haberlerde yer alan bir tahmin olarak görülmeli. 33

Saldırganların yaklaşık altı ay boyunca İtalyan kolluk sistemlerine eriştiği yönündeki iddia da haberlerde aktarıldı. Bu, iddia edilen tehdit aktörünün beyanıdır; Revolut veya makamlar tarafından doğrulanmış bir bulgu değildir. 3637

Hangi veriler açığa çıkmış olabilir?

TechCrunch'ın incelediği müşteri bildirimlerine göre aktarılan bilgiler; doğum tarihi, posta ve e-posta adresi, telefon numarası gibi kimlik ve iletişim verilerinin yanı sıra pasaport veya sürücü belgesi kopyalarını içeriyordu. Bildirimde, kimlik doğrulama için çekilen selfie'lerin, hesap ekstrelerinin ve işlem geçmişlerinin de kapsamda olabileceği belirtildi. 35

Başka haberlerde ise IBAN'lar, para çekme kayıtları ve Bitcoin işlem hareketlerinin de saldırganların eline geçtiği öne sürüldü. 510

Bu tür verilerin bir arada bulunması riski büyütüyor: Kimlik belgeleri, kimliğe bürünme ve hesap kurtarma dolandırıcılığında kullanılabilir; iletişim ve finansal veriler ise oltalama girişimlerini çok daha inandırıcı hâle getirebilir.

Bitcoin işlem verisi neden riski artırıyor?

Ad, adres, kimlik belgesi ve doğrulama selfie'si; gerçek bir kişiyi finansal faaliyetlerle ilişkilendirebilir. Buna Bitcoin işlem geçmişi de eklenirse, doğrulanmış gerçek dünya kimliği ile halka açık blokzincirde görülebilen hareketler arasında bağ kurulması kolaylaşabilir. 1035

Bu, her cüzdanın veya gelecekteki her işlemin otomatik olarak belirli bir kişiye atfedilebileceği anlamına gelmez. Fakat hedefli oltalama, kimlik dolandırıcılığı, baskı veya kripto varlığı olduğu düşünülen kişilere yönelik dolandırıcılık girişimlerinin ihtimali artabilir. Parola değiştirilebilir; kimlik belgeleri ve geçmiş blokzincir kayıtları ise sızıntı sonrasında aynı şekilde değiştirilemez.

Sızdırılan kayıtlar ve iddia edilen fidye

Saldırganların müşteri materyallerini yayımlamaya başladığı ve yeni sızıntılarla tehdit ettiği bildirildi. Haberlerde, tenisçi Alexander Shevchenko ile Gamdom genel müdürü Felix Römer'e ait olduğu iddia edilen dosyalar yer aldı; Cointelegraph, Römer'in bilgilerinin sızıntıda görünmesinin ardından açıklama yaptığını aktardı. 2

10.000 BTC —o dönemki değeriyle yaklaşık 780 milyon ABD doları— tutarında olduğu öne sürülen ödeme talebi, sosyal medya paylaşımları ve ikincil haberlerde dolaşıma girdi. Revolut ve atıf yapılan materyaldeki kolluk makamları bu talebi doğrulamadı. Dolayısıyla bu, teyit edilmiş bir fidye görüşmesi değil, doğrulanmamış bir şantaj iddiası olarak ele alınmalı. 1213

Etkilenen müşteriler ne yapmalı?

Bildirim alan müşterilerin bu bildirimi saklaması ve yalnızca Revolut'un resmî kanallardan paylaştığı yönlendirmeleri izlemesi gerekiyor. Kişisel ayrıntılar içeren, Revolut'tan ya da bir düzenleyici kurumdan geldiğini söyleyen veya aciliyet baskısı kuran mesajlara karşı özellikle dikkatli olunmalı.

Atılabilecek yararlı adımlar:

• Revolut ve e-posta parolası başka hizmetlerde de kullanılıyorsa parolaları değiştirin; mümkün olan en güçlü çok faktörlü kimlik doğrulamayı açın.
• Doğru kişisel bilgiler içerse bile, istenmeyen arama, SMS ve e-postalara şüpheyle yaklaşın.
• Tek kullanımlık doğrulama kodlarını, kurtarma kodlarını veya seed phrase'leri hiçbir arayan ya da mesaj gönderene vermeyin.
• Banka, kart ve kripto borsası hesaplarındaki beklenmedik hareketleri izleyin; şüpheli temasları kayda alın.
• Kimlik belgesi açığa çıkan kişiler, riskin kart değişimiyle sona erdiğini varsaymak yerine gelecekteki kimlik dolandırıcılığı ihtimalini de dikkate almalı.

Birleşik Krallık'ta Bilgi Komiserliği Ofisi (ICO), bir kuruluşun kişisel verileri yeterince korumadığı endişesini taşıyan kişilere önce ilgili kuruluşla iletişim kurmalarını öneriyor ve veri koruma konularında kamuya destek kanalları sunuyor. 23

Finans şirketleri için operasyonel ders

Bu olay, hassas kamu kurumu veya kolluk taleplerinde yalnızca gönderen alan adı denetimine güvenilemeyeceğini gösteriyor. Bilinen dizin bilgilerinden bağımsız geri arama doğrulaması, hassas veri paylaşımlarında iki aşamalı onay, sıkı veri minimizasyonu, denetlenebilir talep kayıtları ve otorite taklidine dayalı sosyal mühendisliği saptamaya yönelik açık prosedürler etkili önlemler arasında sayılabilir.

Müşteriler için çıkarım da net: Resmî görünen e-posta adresi, güvenmek için kesin kanıt değil; araştırılması gereken bir işarettir. Kimlik kayıtları ile finansal geçmişin birlikte söz konusu olduğu ihlallerde, ilk veri aktarımını izleyen dolandırıcılık girişimleri sızıntının kendisinden daha yıkıcı olabilir.

Hâlâ bilinmeyenler

Mevcut kanıtlar, Revolut'un gerçek bir kamu kurumu alan adından gelen sahte talepler sonrasında müşteri verilerini aktardığını; şirketin açıklamasına göre çekirdek sistemler ile müşteri fonlarının etkilenmediğini destekliyor. 1

Sağlanan haberlerde bazı kritik ayrıntılar hâlâ net değil: PEC altyapısının kesin rolü, öne sürülen altı aylık zaman çizelgesi, etkilenen müşterilerin tam sayısı, saldırganların İtalyan sistemlerine erişim iddiası ve Birleşik Krallık düzenleyicilerinin olası işlemlerinin durumu. Resmî doğrulama olmadan bu iddialar kesin bilgi olarak sunulmamalı. 133637