Vụ lộ dữ liệu Revolut và yêu cầu tiền chuộc 3 triệu USD: Những gì đã biết

Revolut xác nhận thông tin nhạy cảm của khách hàng đã bị tiết lộ cho một bên thứ ba không được phép, sau khi công ty nhận các yêu cầu gian lận được gửi từ một tên miền email hợp pháp của cơ quan công quyền. Công ty mô tả đây là vụ giả mạo/xã hội kỹ thuật từ bên ngoài, chứ không phải vụ xâm nhập đã được xác nhận vào các hệ thống lõi. 12

Sự việc cũng đi kèm một tuyên bố đòi tiền chuộc công khai từ nhóm sử dụng tên “iamnotavillain”. Tuy vậy, cần lưu ý điểm then chốt: Revolut nói với Reuters rằng họ không nhận được liên hệ trực tiếp hoặc yêu cầu tiền chuộc từ cá nhân hay nhóm tự nhận chịu trách nhiệm. 2

Revolut đã xác nhận những gì?

Theo tuyên bố của Revolut được Reuters đưa tin, kẻ gian đã dùng một tên miền email thuộc cơ quan công quyền hợp pháp để gửi các yêu cầu đánh lừa nhằm lấy thông tin khách hàng. Trước khi phát hiện hành vi gian lận, Revolut đã cung cấp thông tin nhạy cảm cho một bên không được phép. 1

Revolut cho biết các khách hàng bị ảnh hưởng đã được thông báo và ban đầu chỉ mô tả số lượng là “rất hạn chế”. Reuters sau đó đưa tin sự việc được hiểu là liên quan đến khoảng 680 khách hàng, dù Revolut không công bố con số này trong thông báo công khai ban đầu. 12

Dựa trên các thông báo gửi tới người bị ảnh hưởng, dữ liệu lộ ra có thể gồm thông tin nhận dạng và liên hệ như ngày sinh, địa chỉ, số điện thoại và bản sao giấy tờ tùy thân. TechCrunch đưa tin dữ liệu cũng có thể bao gồm ảnh selfie dùng để xác minh, sao kê tài khoản và những tài liệu khác liên quan đến tài khoản. 5

Hệ thống của Revolut có bị hack không?

Theo thông tin Revolut đưa ra và một nguồn tin am hiểu sự việc, hạ tầng lõi, cơ sở dữ liệu và tài khoản khách hàng của Revolut không bị hack. Revolut cũng nói hệ thống và tiền của khách hàng không bị ảnh hưởng. 12

Đây là khác biệt quan trọng: sự việc được xác nhận là hành vi tiết lộ dữ liệu vì bị đánh lừa bởi các yêu cầu giả mạo, không phải một vụ đột nhập kỹ thuật đã được xác nhận vào hệ thống tài khoản hoặc cơ sở dữ liệu của Revolut. Các báo cáo công khai chưa xác lập độc lập mọi chi tiết kỹ thuật, vì vậy không nên suy diễn quá mức về phạm vi sự cố. 12

Khoản đòi chuộc 3 triệu USD: điều gì là báo cáo, điều gì chưa được kiểm chứng?

Theo Reuters dẫn lại thông tin từ Financial Times, các bên tự nhận chịu trách nhiệm đã đe dọa bán hồ sơ mật của hàng trăm khách hàng Revolut cho những nhóm tội phạm khác nếu công ty không trả 3 triệu USD trong vòng 24 giờ. 2

Một số báo cáo khác nêu khoản thanh toán bị yêu cầu là 6.000 Monero (XMR), trị giá xấp xỉ 3 triệu USD vào thời điểm đó, và gọi bên đưa ra tối hậu thư là “iamnotavillain”. Nhóm này được cho là đã đăng yêu cầu trực tuyến kèm đồng hồ đếm ngược, đồng thời nói rằng chưa diễn ra đàm phán. 46

Tuy nhiên, đây là những tuyên bố do hoặc được quy cho phía bị cáo buộc là kẻ tấn công. Chúng không chứng minh danh tính của nhóm là thật, nhóm sở hữu toàn bộ hồ sơ như họ tuyên bố, hoặc có khả năng thực hiện việc bán dữ liệu bị đe dọa. Việc Revolut nói không nhận được yêu cầu trực tiếp càng làm tình trạng của tối hậu thư công khai này trở nên chưa rõ ràng. 26

Điều đã biết và điều chưa được xác minh

Có cơ sở từ tuyên bố của Revolut và các báo cáo lớn

• Các yêu cầu gian lận gửi từ một tên miền email cơ quan công quyền hợp pháp đã dẫn đến việc tiết lộ trái phép thông tin nhạy cảm của khách hàng. 1
• Revolut cho biết hệ thống và tiền của khách hàng không bị ảnh hưởng. 1
• Reuters đưa tin Revolut không nhận được liên hệ trực tiếp hay yêu cầu tiền chuộc từ những người bị cáo buộc đứng sau vụ việc. 2
• Các báo cáo ước tính có khoảng 680 khách hàng bị ảnh hưởng. 24

Chưa được xác minh hoặc phụ thuộc vào tuyên bố của bên tự nhận tấn công

• “iamnotavillain” có thực sự là cá nhân hoặc nhóm đứng sau việc tiết lộ dữ liệu hay không. 26
• Nhóm này có nắm giữ toàn bộ dữ liệu mà họ tuyên bố có hay không. 26
• Dữ liệu đã bị bán, chia sẻ hoặc bị các nhóm tội phạm khác sử dụng hay chưa. 2
• Toàn bộ chuỗi vận hành và kỹ thuật khiến các yêu cầu gian lận trông có vẻ đáng tin cậy. 12

Kết luận

Các bằng chứng hiện có dẫn đến một kết luận hẹp hơn nhưng vẫn nghiêm trọng: Revolut đã tiết lộ dữ liệu nhạy cảm của khách hàng sau khi bị đánh lừa bởi những yêu cầu có vẻ xuất phát từ tên miền email hợp pháp của một cơ quan công quyền. Revolut bác bỏ việc hạ tầng lõi hoặc tài khoản khách hàng bị xâm nhập. 12

Yêu cầu 3 triệu USD bằng Monero, hạn chót 24 giờ, đồng hồ đếm ngược và danh tính “iamnotavillain” đã được truyền thông đưa tin, nhưng vẫn là các cáo buộc gắn với phía tự nhận là kẻ tấn công. Cho đến khi có xác minh độc lập, cần tách bạch các tuyên bố đó với vụ tiết lộ dữ liệu mà Revolut đã xác nhận. 26