Revolut fdat dominju ġenwin tal-gvern

L-email intbagħtet minn dominju ġenwin tal-gvern. Għaddiet mill-kontrolli standard li jivverifikaw li messaġġ tassew oriġina mill-organizzazzjoni li qal li kien qed jirrappreżenta. U talbet ir-rekords tal-klijenti. Għalhekk, Revolut ikkonformat u bagħtet dokumenti tal-identità, selfies, rendikonti bankarji u l-istorja tat-tranżazzjonijiet lill-mittent. Irriżulta li l-mittent kien frodist (TechCrunch).

Il-kumpanija fintech ikkonfermat l-inċident is-Sibt wara li l-klijenti milquta bdew jaqsmu l-emails ta’ notifika. L-eks kap eżekuttiv ta’ Mt. Gox, Mark Karpelès, ippubblika n-notifika tiegħu, u b’hekk ikkonferma pubblikament li kien wieħed mill-vittmi (The Block). Revolut qalet li ma kien hemm ebda aċċess mhux awtorizzat għall-pjattaforma bankarja tagħha u li ma nsterqu ebda fondi matul l-inċident. Hija ħarġet ir-rekords bi tweġiba għat-talbiet frawdolenti, wara li tqarrqet minn dak li n-notifika tagħha stess iddeskriviet bħala kont mhux awtorizzat maħluq fi ħdan l-infrastruttura ġenwina tal-email ta’ aġenzija governattiva li ma ssemmietx (Security Affairs).

It-timbru postali kien ġenwin. Min kiteb ma kienx awtorizzat.

Meta tirċievi email, il-fornitur tiegħek iwettaq kontrolli ta’ awtentikazzjoni mingħajr ma tinduna. Dawn jivverifikaw li s-server li bagħat il-messaġġ kien awtorizzat minn sid id-dominju u li l-messaġġ ma nbidilx waqt it-trażmissjoni. Tista’ tqisu bħallikieku qed tikkonferma li ittra għandha timbru postali ġenwin minn uffiċċju postali governattiv reali.

It-timbru postali jista’ jkun ġenwin mingħajr ma jipprova li min kiteb kien awtorizzat jagħmel it-talba. In-notifika ta’ Revolut tindika li l-awtentikazzjoni valida tad-dominju kienet raġuni ewlenija għaliex it-talba ġiet meqjusa leġittima. Il-kumpanija ma żvelatx jekk, qabel ma ħarġet ir-rekords, ivverifikatx b’mod indipendenti l-identità ta’ min għamel it-talba jew l-awtorità legali tiegħu (Security Affairs, CyberInsider).

Revolut l-ewwel ħarġet l-informazzjoni. Kien biss wara li kkuntattjat b’mod indipendenti lill-aġenzija governattiva li saret taf li t-talbiet ma kinux awtorizzati. Imbagħad imblukkat lill-mittent, avżat lill-awtoritajiet u nnotifikat lill-klijenti (TechCrunch, Reuters/WHBL).

Għadu mhux magħruf kif inħolqot il-kaxxa postali mhux awtorizzata. Seta’ kien kont eżistenti li ġie kompromess, kont ġdid maħluq permezz ta’ dgħufija amministrattiva, jew kont maħluq bl-għajnuna ta’ xi ħadd minn ġewwa. Revolut ma identifikatx l-aġenzija, il-pajjiż tagħha, id-dominju jew l-aggressur (TechCrunch).

Liema informazzjoni ħarġet mill-kumpanija

In-notifika lill-klijenti elenkat pakkett komprensiv ta’ informazzjoni. Id-dokumenti tal-identità kienu jinkludu kopji tal-passaport u tal-liċenzja tas-sewqan, is-selfie meħud waqt il-proċess ta’ reġistrazzjoni, l-isem sħiħ, id-data tat-twelid u l-impjieg. Id-dettalji ta’ kuntatt kienu jinkludu l-indirizz postali, l-email u n-numru tat-telefon. Ir-rekords finanzjarji kienu jinkludu rendikonti tal-kont bl-IBAN, rekords tal-ġbid ta’ flus u l-istorja sħiħa tat-tranżazzjonijiet, inklużi tranżazzjonijiet bil-Bitcoin (TechCrunch, The Block).

In-notifika ta’ Revolut għamlet distinzjoni: is-selfie meħud waqt ir-reġistrazzjoni nħareġ, iżda mhux il-mudell matematiku li sistema ta’ rikonoxximent tal-wiċċ tipproduċi minnu. Ritratt ta’ wiċċ xorta waħda huwa sensittiv. Flimkien ma’ skenn ta’ passaport, kombinazzjoni bħal din tista’ tgħin lil aggressur jipprova jwettaq frodi tal-identità, għalkemm ħafna sistemi ta’ verifika jeħtieġu wkoll testijiet li jikkonfermaw li l-persuna hija preżenti u kontrolli oħra.

Il-passwords, il-kodiċijiet ta’ darba, in-numri tal-kards, it-tokens tal-awtentikazzjoni u ċ-ċwievet privati tal-kriptoassi ma kinux fost ir-rekords żvelati. Dawn huma s-sigrieti użati biex wieħed jidħol f’kont. Iżda d-data esposta tista’ tagħmel il-phishing immirat aktar konvinċenti. Kriminal li jsemmi tranżazzjonijiet ġenwini, numri tal-kont reali u indirizz magħruf huwa aktar diffiċli biex jiġi injorat minn wieħed li jibgħat frodi ġenerika (gwida tal-NCSC dwar ksur tad-data).

Revolut qalet li ntlaqat “għadd limitat” ta’ klijenti, iżda ma tatx ċifra totali, analiżi skont il-pajjiż jew perjodu ta’ żmien. Il-media Belġjana rrappurtat, abbażi ta’ sorsi li ma ssemmewx, li kien hemm vittmi Belġjani, għalkemm ma teżisti ebda konferma minn sors primarju (The Brussels Times).

Il-falliment fil-verifika jinsab fil-qalba ta’ dan l-inċident. L-awtentikazzjoni ta’ dominju tal-email tgħid lil bank l-infrastruttura ta’ liema organizzazzjoni bagħtet messaġġ. Ma tgħid xejn dwar jekk il-persuna li użat dik l-infrastruttura kellhiex l-awtorità titlob il-fajls tal-klijenti. Banek li jqisu l-kontrolli tad-dominju bħala verifika suffiċjenti ta’ talba għad-data huma esposti proprju għal din ix-xorta ta’ qerq. L-esperjenza ta’ Revolut kixfet il-lakuna: jeħtieġ li jiġu awtentikati min jagħmel it-talba u l-bażi legali tagħha, mhux biss l-oriġini tal-messaġġ.