Revolut potwierdził serwisowi BeInCrypto, że ktoś rzeczywiście nakłonił firmę do przekazania plików klientów, które — jak wynika z jej własnych powiadomień — zawierały paszporty, selfie i rejestry transakcji Bitcoinem. Firma określa to jako wyrafinowany atak. Z jej opisu wynika, że chodziło o wiadomość e-mail.
Wiadomość przyszła z domeny pocztowej prawdziwej agencji rządowej. Zawierała prawdziwe dane uwierzytelniające dla tej domeny. Revolut uznał ją za autentyczną i wysłał pliki.
Co według Revolut się wydarzyło
Rzecznik Revolut powiedział serwisowi BeInCrypto, że bank zablokował nadawcę, gdy tylko zauważył problem.
„Revolut niedawno wykrył wyrafinowany atak polegający na podszywaniu się pod podmiot zewnętrzny, w ramach którego nieupoważniona osoba trzecia wykorzystała adres e-mail w domenie prawdziwej agencji rządowej do składania fałszywych wniosków o udostępnienie informacji… Systemy Revolut i środki klientów nie ucierpiały”.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Firma twierdzi, że powiadomiła agencję, policję oraz organy nadzorujące ochronę danych i rynek finansowy. Skontaktowała się z osobami, które określa jako niewielką grupę poszkodowanych.
O czym nie wspomniano w oświadczeniu
Revolut twierdzi, że konta pozostają bezpieczne. To prawda, ale nie w tym tkwi problem.
Bank powiedział serwisowi BeInCrypto, że kody dostępu, dane logowania i dane biometryczne nigdy nie zostały ujawnione. Żadne pieniądze nie zmieniły właściciela.
Powiadomienia wysłane klientom przedstawiają sprawę inaczej. Wynika z nich, że selfie weryfikacyjne zostało przekazane, a wykluczono jedynie ujawnienie biometrycznych danych telemetrycznych twarzy, czyli wzorca twarzy tworzonego przez system na podstawie zdjęcia. Samo zdjęcie to już inna sprawa.
Pozostałe dane wymieniają tamte zawiadomienia. Paszporty. Prawa jazdy. Adresy zamieszkania. Wyciągi bankowe. Pełna historia wpływów i wypływów bitcoinów.
Hasło można zmienić w minutę. Paszportu nie.
Revolut nie ujawni, z jakiej domeny agencji skorzystano, powołując się na trwające śledztwo policyjne. Nikt spoza firmy nie wie więc, czy przejęto rządową skrzynkę pocztową, czy też ktoś, kto już miał do niej dostęp, nacisnął „Wyślij”.
Śledczy zajmujący się blockchainem ZachXBT, który zawodowo tropi skradzione kryptowaluty, zwrócił uwagę na wyciek, podkreślając, że dotyczył niewielkiej grupy użytkowników i wyglądał na wymierzony w osoby zamożne.
Skradzione listy klientów po naruszeniach bezpieczeństwa zwiększały ryzyko ataków phishingowych. Ujawnienie adresów zamieszkania poprzedzało już brutalne napaści na posiadaczy kryptowalut.
Słowo „wyrafinowany” można rozumieć jeszcze inaczej. Według relacji samego Revoluta napastnik napisał e-mail i czekał. Sprytne posunięcie miało miejsce w rządowym systemie pocztowym. Kosztowne konsekwencje — w Revolut.
Źródło: BeInCrypto
