Fałszywy urzędnik, prawdziwe dane. Jak Revolut przez 5 miesięcy odpowiadał oszustom

Większość wycieków kojarzy się z włamaniem do serwera. Przypadek Revoluta pokazuje, że czasem wystarczy wysłać maila i grzecznie poprosić. Jak opisał Niebezpiecznik, firma przekazała dane części klientów przestępcom, którzy podszyli się pod instytucję państwową. Teraz atakujący publikują fragmenty danych i żądają okupu w wysokości 10 000 BTC, czyli ponad 780 mln dolarów. Wśród poszkodowanych mają być także Polacy.

Jakie dane trafiły w ręce oszustów

Revolut wysłał powiadomienia do osób, których sprawa dotyczy. Wynika z nich, że przekazano m.in.:

• imię i nazwisko, datę urodzenia i zawód,
• adres zamieszkania, adres e-mail i numer telefonu,
• skany paszportu lub prawa jazdy,
• selfie wykonane podczas weryfikacji tożsamości przy zakładaniu konta,
• wyciągi z kont z numerami IBAN, historię wypłat i pełną historię transakcji, w tym bitcoinowych.

To praktycznie komplet informacji o kliencie, idealny do ukierunkowanych oszustw i kradzieży tożsamości. Revolut mówi o „bardzo ograniczonej” grupie klientów, media szacują ją nawet na 680 osób. Badacz kryptowalut ZachXBT wskazuje, że celem były głównie osoby zamożne i związane z kryptowalutami. Osoba podająca się za atakującego wymieniła ponad dwadzieścia krajów, w tym Polskę. Przestępcy twierdzą, że mają 147 GB danych, ale tej informacji nikt niezależnie nie potwierdził.

Jak wyglądał atak

Przestępcy korzystali ze skrzynki we włoskim systemie PEC, czyli certyfikowanej poczty elektronicznej, której wiadomości mają moc prawną podobną do listu poleconego. Media podejrzewają, że skrzynka należała do prefektury Reggio Calabria. Według włoskich doniesień od początku roku odnotowano ponad 650 przypadków nielegalnego użycia kont PEC.

Z tej skrzynki wysyłano do litewskiego Revolut Bank UAB żądania danych, powołując się na Europejski Nakaz Dochodzeniowy. Metoda polegała na masowym przesyłaniu setek identyfikatorów transakcji kryptowalutowych z pytaniem, do kogo należą konta. Revolut odpowiadał na takie wiadomości przez 5 miesięcy, zanim zorientował się, że coś jest nie tak.

Jak przejęto skrzynkę? Atakujący twierdzą, że użyli infostealera, czyli złośliwego programu kradnącego zapisane hasła. Potem mieli stale pilnować skrzynki, dodać własny adres odzyskiwania i kasować wiadomości, które mogłyby zaalarmować właściciela. To jednak deklaracje przestępców, których Revolut nie potwierdził.

Sygnały ostrzegawcze, które przeoczono

Skoro skrzynka była prawdziwa, techniczne zabezpieczenia poczty nie miały czego wykryć. Włoskie media wskazują jednak na inne czerwone flagi. Żądania były podpisywane przez policję pocztową, choć wychodziły ze skrzynki prefektury. Powinien im też towarzyszyć nakaz sądowy, który nadaje takiemu żądaniu ważność, a go brakowało. Revolut nie upomniał się o niego i realizował kolejne prośby.

Firma zapewnia, że jej systemy i środki klientów nie ucierpiały, a po wykryciu problemu zablokowała adres i powiadomiła organy oraz regulatorów.

To nie pierwszy kłopot Revoluta z danymi klientów. Cztery lata temu phishing wymierzony w pracownika firmy doprowadził do kradzieży danych dotyczących 50 150 osób. Tym razem nie było jednak włamania w klasycznym sensie. Nikt nie przełamał zabezpieczeń banku. Firma uwierzyła domenie nadawcy i nie sprawdziła, czy przesyłane „nakazy” są autentyczne. Podobny schemat znamy z działań grupy Lapsus$, która w latach 2021-2022 wyłudzała dane użytkowników dużych platform internetowych za pomocą przejętych kont organów ścigania.

Ten problem dotyczy także małych firm

Metoda „na funkcjonariusza” nie jest nowa. Dostęp do przejętych skrzynek w domenach rządowych bywa sprzedawany na forach przestępczych, a fałszywe pilne prośby o dane trafiają do różnych firm. Sklep internetowy, biuro rachunkowe czy firma hostingowa też może dostać wiadomość, w której „policja” albo „prokuratura” prosi o dane klienta, adres IP czy historię zamówień.

Jako administrator danych odpowiadasz za to, komu je ujawniasz. Przekazanie danych osobie nieuprawnionej, nawet w dobrej wierze, może być naruszeniem ochrony danych w rozumieniu RODO.

Procedura na żądania danych od organów

Nie potrzebujesz działu prawnego, żeby się zabezpieczyć. Wystarczy kilka zasad spisanych na jednej stronie:

1. Jedna osoba odpowiedzialna. Żądania od organów trafiają do wyznaczonej osoby, a nie do pierwszego pracownika, który odbierze maila.
2. Weryfikacja niezależnym kanałem. Zadzwoń do instytucji na numer znaleziony samodzielnie, na jej oficjalnej stronie, a nie podany w wiadomości. Zapytaj, czy dany funkcjonariusz istnieje i czy wysłał żądanie.
3. Sprawdzenie podstawy prawnej. Czy w piśmie jest wskazana podstawa i sygnatura sprawy? Czy podpis pasuje do instytucji, z której przyszła wiadomość? Czy dołączono wymagane dokumenty?
4. Zasada minimum. Przekazuj tylko te dane, o które formalnie poproszono, a nie cały profil klienta.
5. Czujność przy masowych prośbach. Seria podobnych żądań w krótkim czasie powinna wzbudzić podejrzenia, a nie przyspieszyć obsługę.
6. Rejestr wydań. Zapisuj, komu, kiedy i na jakiej podstawie przekazano dane. Pozwoli to szybko ocenić skalę problemu, jeśli coś pójdzie nie tak.

Dla klientów płynie z tej historii prosty wniosek: zanim prześlesz kolejnej firmie skan dowodu czy selfie, zastanów się, czy to naprawdę konieczne. Dla firm wniosek jest równie prosty. Najlepsze zabezpieczenia techniczne nie pomogą, jeśli procedura pozwala wydać dane na podstawie samego maila.

Źródło: Niebezpiecznik

Revolutwyciek danychsocjotechnikaRODOweryfikacja