Revolut pod ostrzałem! Paszporty klientów i selfie zaczynają być ujawniane, hakerzy grożą "codziennym zwiększaniem wycieków"

Wcześniejsze raporty Blockcast informowały, że Revolut, z powodu błędnego zaufania do fałszywych żądań danych pochodzących z prawdziwych domen rządowych, przekazał część dokumentów tożsamości klientów, zapisów kont oraz nawet historii transakcji Bitcoin osobom nieuprawnionym. Sytuacja teraz się zaostrza: napastnicy, którzy twierdzą, że posiadają te dane, zaczęli ujawniać część plików klientów i postawili Revolut ultimatum, grożąc, że jeśli firma odmówi płatności, będą codziennie publikować więcej danych.

Brytyjskie media finansowe City AM doniosły 14 września, że organizacja nazywająca się „Revolut Smilik” potwierdziła w mediach, że żąda płatności od Revolut i grozi ujawnieniem „coraz większej ilości danych, codziennie”. W raporcie wskazano, że już część znanych osób miała swoje dane ujawnione. Revolut odmówił ujawnienia liczby osób dotkniętych sytuacją i nie skomentował, czy odpowie na żądania okupu.

To oznacza, że pierwotnie incydent związany z ujawnieniem danych z powodu błędu przeszedł w bardziej skomplikowaną fazę „drugiego okupu”.

Paszporty, selfie i historia transakcji mogą stać się narzędziem szantażu

Revolut potwierdził, że incydent wynikał z „skomplikowanego oszustwa zewnętrznego”. Osoby nieuprawnione użyły konta e-mail znajdującego się w prawdziwej domenie rządowej do wysłania żądania danych, co sprawiło, że Revolut uwierzył, że prośba pochodzi od legalnej jednostki rządowej i przekazał dane klientów.

Reuters cytuje Revolut, który stwierdził, że incydent dotknął „bardzo ograniczonej” liczby klientów, a system firmy oraz fundusze klientów nie zostały naruszone. Po odkryciu problemu Revolut zablokował odpowiednie adresy i powiadomił organy rządowe, organy ścigania oraz instytucje zajmujące się ochroną danych i regulacjami finansowymi.

Jednakże, powiadomienia od klientów wskazują, że przekazane dane są znacznie bardziej wrażliwe niż zwykłe imię i adres e-mail, obejmując daty urodzenia, adresy, numery telefonów, kopie paszportów lub praw jazdy, selfie weryfikacyjne oraz wyciągi z kont, IBAN, historię wypłat i pełną historię transakcji, w tym możliwe zapisy transakcji Bitcoin.

Najnowsze ujawnione dane pokazują, że napastnicy zaczęli publikować dokumenty tożsamości i zdjęcia weryfikacyjne, które rzekomo należą do poszkodowanych klientów. Od 13 września dane krążą w X i Telegramie, w tym pliki związane z niektórymi publicznymi osobami.

Brytyjski Urząd Komisarza ds. Informacji (ICO) potwierdził City AM, że otrzymał raport o incydencie złożony przez Revolut i obecnie ocenia związane z tym dane.

To jest kluczowe, ponieważ incydent nie jest tradycyjnym włamaniem hakerskim do bazy danych, ale napastnicy wykorzystali „legalną infrastrukturę e-mailową rządu”, aby skutecznie przejść przez wewnętrzny proces weryfikacji firmy. Revolut stoi obecnie przed problemem nie tylko bezpieczeństwa e-maili, ale także tego, czy instytucje finansowe mają wystarczające mechanizmy weryfikacji drugiego poziomu podczas obsługi żądań danych od organów ścigania i rządowych.

Revolut podkreśla, że jego podstawowa infrastruktura, bazy danych i konta klientów nie zostały złamane; ale to również uwydatnia inny rodzaj ryzyka, które coraz trudniej jest przewidzieć w instytucjach finansowych: nawet jeśli bank sam nie został „złamany”, przestępcy mogą kontrolować lub nadużywać zaufanych kanałów komunikacji rządowej, co również może prowadzić do uzyskania wysoko wrażliwych danych KYC i finansowych.

Ujawnienie historii transakcji Bitcoin, ryzyko nie ogranicza się tylko do kradzieży tożsamości

Ten incydent jest szczególnie wrażliwy dla użytkowników kryptowalut.

Tradycyjne wycieki danych osobowych zazwyczaj prowadzą do ryzyka phishingu, wymiany SIM, przejęcia konta lub kradzieży tożsamości; ale jeśli napastnicy jednocześnie posiadają prawdziwe imię, adres, paszport oraz pełną historię transakcji Bitcoin, mogą bezpośrednio powiązać tożsamość fizyczną z określonymi aktywnościami kryptograficznymi.

ZachXBT, analityk blockchain, wcześniej podejrzewał, że incydent może dotyczyć celowego ataku na użytkowników o wysokiej wartości. Jednak Revolut do tej pory nie ujawnili liczby dotkniętych użytkowników ani nie potwierdził, czy incydent dotyczy głównie klientów o wysokiej wartości netto.

W związku z tym obecnie nie można bezpośrednio zdefiniować tego incydentu jako „atak na kryptowalutowych bogaczy”, ale gdy dane KYC, adresy i aktywności na blockchainie znajdą się w rękach przestępców, ryzyko w przyszłości jest oczywiście znacznie wyższe niż w przypadku zwykłego wycieku adresu e-mail.

Na wieczór 14 września Revolut nadal nie ujawnili dokładnej liczby dotkniętych klientów, nazw rzekomo nadużywanych organów rządowych ani nie potwierdzili konkretnej kwoty okupu żądanej przez napastników.

Obecnie można potwierdzić, że incydent przeszedł od „błędnego dostarczenia danych klientów” do publicznego szantażu; napastnicy rzeczywiście zaczęli publikować dane klientów, które rzekomo zdobyli. Co do ich twierdzeń, że będą „codziennie” zwiększać wycieki, pozostaje to na razie groźbą ze strony napastników, a dalsze dane muszą być obserwowane, aby sprawdzić, czy będą się nadal pojawiać.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.