Revolut dał się nabrać na fałszywego urzędnika. Wyciekły bardzo wrażliwe dane

To nie był klasyczny atak, w którym haker przełamuje zabezpieczenia banku i wyciąga bazę danych. W przypadku Revoluta wydarzyło się coś pod pewnymi względami jeszcze bardziej niepokojącego. Firma dostała oficjalnie wyglądające żądanie informacji o klientach, uznała je za prawdziwe i po prostu przekazała dane. Dopiero później okazało się, że za wiadomością stała osoba nieuprawniona. Problem w tym, że wykorzystała prawdziwą domenę instytucji rządowej.

Revolut potwierdził incydent i określił go jako zaawansowane zewnętrzne oszustwo polegające na podszywaniu się pod instytucję. Mechanizm nie sprowadzał się jednak do zarejestrowania adresu przypominającego nazwę prawdziwego urzędu albo podmienienia jednej litery w domenie.

Według informacji przekazanych poszkodowanym klientom nieautoryzowane konto zostało utworzone bezpośrednio w infrastrukturze domenowej prawdziwej instytucji państwowej. Wiadomości przechodziły techniczne mechanizmy uwierzytelniania domeny, dlatego wyglądały jak autentyczna korespondencja urzędowa.

To bardzo istotne, bo Revolut rzeczywiście przyjmuje oficjalne żądania dotyczące klientów drogą elektroniczną. Na swojej stronie podaje specjalny adres przeznaczony dla właściwych organów oraz przedstawicieli prawnych przesyłających nakazy sądowe i wnioski o udostępnienie informacji.

Ktoś wykorzystał więc istniejącą procedurę zamiast próbować obejść ją technicznym włamaniem. Firma uwierzyła, że ma przed sobą prawdziwy wniosek i przekazała żądane informacje.

Zakres danych może być bardzo poważny. Revolut nie opublikował jednej listy obowiązującej wszystkich poszkodowanych, bo informacje ujawnione w przypadku konkretnych osób mogły się różnić.

W zawiadomieniach wysyłanych klientom pojawiają się jednak imię i nazwisko, data urodzenia, zawód, adres zamieszkania, adres e-mail oraz numer telefonu. Do tego mogły dojść kopie dokumentów używanych podczas weryfikacji tożsamości, takich jak paszport albo prawo jazdy, oraz zdjęcie twarzy wykonane przy zakładaniu konta.

Jeszcze groźniej wygląda część finansowa. Ujawnione materiały mogły obejmować wyciągi z rachunku wraz z numerem IBAN, datą otwarcia konta, historią wypłat oraz pełną historią transakcji. W przypadku osób korzystających z kryptowalut mogły znaleźć się tam również informacje o transakcjach bitcoinowych i identyfikatory związane z portfelem.

Revolut zaznacza, że nie doszło na szczęście do ujawnienia biometrycznych danych telemetrycznych twarzy. Samo zdjęcie wykorzystane do weryfikacji mogło jednak znaleźć się w przekazanym materiale.

To zestaw informacji szczególnie niebezpieczny nie dlatego, że pozwala opróżnić konto, lecz dlatego, że umożliwia stworzenie niezwykle wiarygodnego profilu konkretnej osoby. Oszust znający adres, numer telefonu, dokument tożsamości i historię finansową ma znacznie łatwiejsze zadanie podczas kolejnej próby podszycia się pod bank, urząd czy samego klienta.

Firma podkreśla, że jej systemy nie zostały w żaden sposób naruszone, a środki klientów pozostają bezpieczne. Nie mamy więc informacji o tym, aby sprawca uzyskał bezpośredni dostęp do rachunków lub dzięki temu incydentowi wykonywał z nich przelewy.

Po odkryciu oszustwa Revolut zablokował wykorzystywany adres, poinformował instytucję, której domeny użyto, oraz zawiadomił organy ścigania, regulatorów finansowych i instytucje zajmujące się ochroną danych.

Nie znamy jednak kilku bardzo istotnych szczegółów. Revolut nie ujawnił, jaka instytucja państwowa została wykorzystana, z jakiego kraju pochodziła ani ilu dokładnie klientów dotknął incydent. Firma obecnie mówi o ograniczonej liczbie osób i zapewnia, że każda z nich została powiadomiona bezpośrednio. Nie wiadomo również, czy problem ogranicza się do jednego rynku. Dlatego na tym etapie nie ma podstaw, by twierdzić, że wyciek objął polskich klientów Revoluta.

Wyciek jest szczególnie paskudny, bo przejęte informacje świetnie nadają się do socjotechniki. Napastnik nie musi już zaczynać rozmowy od ogólnego: dzwonię z banku. Może znać prawdziwy adres klienta, jego datę urodzenia, szczegóły rachunku, a nawet niedawne transakcje.

To radykalnie zwiększa wiarygodność kolejnej próby oszustwa. Sam Revolut na początku roku wprowadził w aplikacji funkcję pozwalającą sprawdzić, czy osoba telefonująca naprawdę reprezentuje firmę. Teraz klienci dotknięci incydentem powinni być szczególnie wyczuleni właśnie na podobne telefony i wiadomości.

Przeczytaj także:

Warto też pamiętać, że po głośnym wycieku zazwyczaj bardzo szybko pojawia się druga fala fałszywych komunikatów. Oszuści mogą podszywać się pod Revoluta i oferować zabezpieczenie konta, weryfikację danych albo pomoc po wycieku. Po kliknięciu podejrzanego linku najważniejsze jest więc ustalenie, jakie informacje faktycznie zostały przekazane i jak szybko można odciąć kolejne drogi ataku.

Revolut regularnie ostrzega swoich użytkowników, żeby nie ufali samemu adresowi nadawcy i zawsze potwierdzali tożsamość osoby proszącej o wrażliwe dane. Tym razem ktoś zastosował tę samą lekcję przeciwko samemu Revolutowi. I miał do dyspozycji prawdziwą domenę urzędu.

*Źródło grafiki wprowadzającej: Icons8 Photos, Canva Pro / Canva Pro