Витік даних Revolut і «викуп» $3 млн: що підтверджено, а що лишається заявами

Revolut підтвердив, що розкрив чутливу інформацію про клієнтів неуповноваженій третій стороні після отримання шахрайських запитів, надісланих із домену справжньої державної установи. Компанія описує це як зовнішню схему імітації та соціальної інженерії, а не як підтверджений злам її ключових систем. 12

Інцидент супроводжується публічною заявою про викуп від групи, що використовує назву «iamnotavillain». Водночас є важливе застереження: Revolut повідомив Reuters, що не мав жодного прямого контакту чи вимоги викупу від осіб, які називають себе відповідальними за подію. 2

Що підтвердив Revolut

За заявою Revolut, про яку повідомило Reuters, шахраї скористалися легітимним доменом державної установи, щоб надіслати оманливі запити на надання інформації про клієнтів. До виявлення шахрайства компанія передала чутливі дані неуповноваженій стороні. 1

Компанія заявила, що повідомила постраждалих клієнтів і спершу назвала їхню кількість «дуже обмеженою». Reuters згодом повідомило, що інцидент, за наявним розумінням, стосується приблизно 680 клієнтів, хоча Revolut не озвучував цю цифру у своїй початковій публічній заяві. 12

З повідомлень, надісланих постраждалим клієнтам, випливає, що розкриті відомості могли включати ідентифікаційні та контактні дані: дати народження, адреси, номери телефонів і копії документів, що посвідчують особу. TechCrunch також повідомляв, що серед даних могли бути селфі для верифікації, виписки з рахунків та інші матеріали, пов’язані з обліковим записом. 5

Чи зламали інфраструктуру Revolut?

Згідно з поясненням Revolut і даними джерела Reuters, обізнаного з ситуацією, основну інфраструктуру Revolut, бази даних і клієнтські облікові записи не зламували. Компанія також заявила, що її системи та кошти клієнтів не постраждали. 12

Це принципове розмежування. Підтверджена подія — розкриття даних, до якого шахраї схилили компанію за допомогою фальшивих запитів, а не підтверджене технічне проникнення до систем рахунків чи баз даних Revolut. Водночас публічні повідомлення не встановлюють незалежно кожної технічної деталі, тому масштаби інциденту не варто перебільшувати. 12

Заявлена вимога $3 млн

За даними Financial Times, які наводить Reuters, особи, що взяли на себе відповідальність, погрожували продати конфіденційні записи сотень клієнтів Revolut кримінальним угрупованням, якщо компанія не сплатить $3 млн протягом 24 годин. 2

Інші публікації називають суму в 6 000 Monero (XMR) — приблизно $3 млн на той момент — і вказують на «iamnotavillain» як на ймовірного виконавця. За цими повідомленнями, група розмістила ультиматум онлайн разом із таймером зворотного відліку та заявила, що переговорів не було. 46

Усі ці деталі є твердженнями, зробленими або приписаними ймовірним зловмисникам. Вони не доводять ані справжність особи групи, ані того, що вона має повний масив даних, про який заявляє, ані спроможності здійснити погрозу продажу. Повідомлення Revolut про відсутність прямої вимоги додає невизначеності щодо фактичного статусу публічного ультиматуму. 26

Що відомо — і чого ми не знаємо

Підтверджено заявою Revolut і великими медіа

• Шахрайські запити з легітимного домену державної установи призвели до несанкціонованого розкриття чутливих даних клієнтів. 1
• Revolut стверджує, що його системи та кошти клієнтів не постраждали. 1
• Reuters повідомило: Revolut не отримував прямого контакту чи вимоги викупу від імовірних виконавців. 2
• У медіа фігурує оцінка приблизно у 680 постраждалих клієнтів. 24

Не перевірено незалежно або залежить від заяв зловмисників

• Чи стоїть «iamnotavillain» за розкриттям даних насправді. 26
• Чи має ця група весь масив записів, про який заявляє. 26
• Чи були дані продані, передані або іншим чином використані іншими злочинними групами. 2
• Повний технічний та операційний ланцюг подій, через який фальшиві запити виглядали переконливо. 12

Висновок

Наявні дані вказують на серйозний, але вужчий за змістом інцидент: Revolut розкрив чутливі дані клієнтів, оскільки був введений в оману шахрайськими запитами, що виглядали як такі, що походять із легітимного державного домену. Компанія заперечує злам своєї основної інфраструктури або клієнтських облікових записів. 12

Вимога $3 млн у Monero, 24-годинний дедлайн, таймер зворотного відліку та приписування атаки «iamnotavillain» широко висвітлювалися, однак наразі це твердження, пов’язані з імовірними зловмисниками. Доки вони не отримають незалежного підтвердження, їх слід відокремлювати від факту розкриття даних, який Revolut уже визнав. 26