Revolut przekazał dane klientów oszustom. Nietypowy incydent pokazuje słaby punkt bankowości cyfrowej

Revolut potwierdził poważny incydent bezpieczeństwa, w wyniku którego dane około 680 klientów trafiły w ręce przestępców. Co szczególnie istotne, nie doszło przy tym do klasycznego włamania do systemów banku. Oszuści wykorzystali zupełnie inną metodę – podszyli się pod przedstawicieli administracji publicznej i przekonali Revolut do legalnie wyglądającego udostępnienia informacji.

Sprawa jest interesująca nie tylko z perspektywy klientów Revoluta. Pokazuje bowiem jeden z problemów, z którym mierzą się banki, fintechy i operatorzy płatności: nawet najlepsze zabezpieczenia techniczne niewiele pomogą, jeśli przestępcy zdołają skutecznie wykorzystać procedury stworzone do współpracy z organami państwa.

Oszuści nie włamali się do Revoluta

Według informacji ujawnionych po incydencie przestępcy wykorzystali adres e-mail znajdujący się w domenie prawdziwej instytucji państwowej. Następnie wysyłali do Revoluta żądania przekazania danych konkretnych użytkowników, występując jako przedstawiciele organów ścigania.

Revolut uznał takie zapytania za autentyczne i przekazał żądane informacje.

Firma podkreśla, że jej systemy informatyczne nie zostały przełamane, a środki znajdujące się na rachunkach klientów nie zostały naruszone.

Nie mamy więc do czynienia z sytuacją, w której cyberprzestępcy uzyskali dostęp do infrastruktury banku czy przejęli możliwość wykonywania przelewów. Problem dotyczył sposobu weryfikowania zewnętrznych żądań o przekazanie danych.

Jakie dane zostały ujawnione?

Zakres informacji różnił się w zależności od klienta, ale wśród danych, które mogły zostać przekazane, znalazły się m.in.:

• imiona i nazwiska,
• daty urodzenia,
• adresy zamieszkania,
• numery telefonów i adresy e-mail,
• kopie paszportów i innych dokumentów tożsamości,
• zdjęcia wykonywane podczas procedury weryfikacji klienta,
• numery IBAN,
• wyciągi bankowe,
• informacje o wypłatach,
• historia transakcji, w niektórych przypadkach również dotyczących Bitcoina.

Według medialnych ustaleń Revolut powiadomił około 680 osób, których dotyczył incydent.

To właśnie zakres informacji powoduje, że sprawy nie można traktować jak zwykłego wycieku adresów e-mail. Połączenie dokumentu tożsamości, adresu, numeru telefonu oraz informacji finansowych daje przestępcom bardzo duże możliwości przeprowadzania kolejnych oszustw.

Szczególnie narażeni mogli być posiadacze kryptowalut

Osoby przyznające się do ataku twierdziły, że jednym z celów było zdobywanie informacji dotyczących osób posiadających większe zasoby kryptowalut.

Financial Times opisywał, że przestępcy mieli wykorzystywać przejęty kanał komunikacji z włoską administracją do wielokrotnego przesyłania do Revoluta fałszywych zapytań. Najwięcej poszkodowanych miało mieszkać we Francji i Szwajcarii, ale incydent obejmował klientów z wielu państw europejskich.

W takim przypadku ryzyko nie ogranicza się wyłącznie do kradzieży tożsamości.

Jeżeli przestępca jednocześnie zna nazwisko właściciela aktywów, jego numer telefonu, historię transakcji i dokładny adres zamieszkania, informacje te mogą posłużyć również do bardzo precyzyjnych ataków phishingowych, prób przejęcia kont czy innych form wymuszeń.

Ważna lekcja dla banków i operatorów płatności

Incydent Revoluta pokazuje, że współczesne bezpieczeństwo usług finansowych nie może być ograniczone wyłącznie do szyfrowania, autoryzacji transakcji czy ochrony serwerów.

Równie ważne stają się procedury wewnętrzne.

Banki oraz instytucje płatnicze regularnie otrzymują zapytania od policji, prokuratur, organów podatkowych i innych instytucji publicznych. W wielu sytuacjach mają obowiązek udzielić odpowiedzi i przekazać określone informacje.

Incydent Revoluta pokazał jednak, że samo otrzymanie wiadomości z prawdziwej domeny urzędu nie musi oznaczać, że żądanie faktycznie pochodzi od uprawnionego funkcjonariusza.

To problem dotyczący całego sektora finansowego. Im więcej procesów przenoszonych jest do komunikacji elektronicznej, tym większe znaczenie ma dodatkowe uwierzytelnianie nadawcy, weryfikacja żądania innym kanałem oraz ograniczanie zakresu przekazywanych danych do niezbędnego minimum.

Czy klienci Revoluta powinni się obawiać?

Revolut zapewnia, że osoby objęte incydentem zostały bezpośrednio poinformowane, a pieniądze klientów oraz infrastruktura banku pozostały bezpieczne.

Nie oznacza to jednak, że użytkownicy powinni zignorować sprawę.

W szczególności osoby, które otrzymały informację o ujawnieniu swoich danych, powinny uważać na telefony, wiadomości SMS oraz e-maile od osób podszywających się pod Revolut lub inne instytucje finansowe.

Przestępca dysponujący prawdziwymi informacjami o kliencie może przygotować znacznie bardziej przekonujący atak niż typowy masowy phishing. Znajomość adresu, danych dokumentu czy wcześniejszych operacji finansowych może sprawić, że fałszywy „pracownik banku” będzie brzmiał bardzo wiarygodnie.

Bardziej szczegółowy opis całej afery oraz instrukcję krok po kroku, co zrobić, jeśli korzystasz z Revoluta lub otrzymałeś informację o ujawnieniu swoich danych, znajdziesz na blogu StopScam. W poradniku opisujemy m.in. zabezpieczenie PESEL-u, kontrolę prób wykorzystania danych, kontakt z Revolutem oraz działania, które warto podjąć po wycieku dokumentów i informacji finansowych.

Przeczytaj: Wyciek danych z Revoluta? Nie. Sami przekazali dane oszustom (xD)