Revolut се довери на истински държавен домейн

Имейлът е изпратен от истински домейн на държавна институция. Преминал е стандартните проверки, които удостоверяват, че съобщението действително идва от инфраструктурата на посочения подател, и е съдържал искане за клиентски данни. Затова Revolut предоставила на изпращача документи за самоличност, селфита, банкови извлечения и история на трансакциите. Впоследствие се оказало, че искането е измамно (TechCrunch).

Финтех компанията потвърди случая в събота, след като засегнати клиенти започнаха да публикуват получените уведомления. Бившият изпълнителен директор на Mt. Gox Марк Карпелес показа публично своето писмо и така потвърди, че е сред жертвите (The Block). Според Revolut не е имало неразрешен достъп до банковата ѝ платформа и средства не са били откраднати. Компанията сама е предала данните в отговор на измамните искания, подведена от неразрешен профил, създаден в истинската имейл инфраструктура на неназована държавна институция (Security Affairs).

Пощенското клеймо е истинско. Подателят няма правомощия.

При получаването на имейл доставчикът извършва автоматични проверки за автентичност. Те установяват дали изпращащият сървър е одобрен от собственика на домейна и дали съобщението е било променено по пътя. Това е като да се потвърди, че писмо носи истинско клеймо от действителна държавна поща.

Истинското клеймо обаче не доказва, че авторът има право да отправи искането. От уведомлението на Revolut се разбира, че валидното удостоверяване на домейна е било основна причина компанията да приеме запитването за легитимно. Тя не е посочила дали, преди да предостави данните, отделно е проверила самоличността на заявителя и правното му основание да ги изиска (Security Affairs, CyberInsider).

Revolut първо е предоставила информацията. Едва след това се е свързала по независим канал с държавната институция и е установила, че исканията не са били разрешени. Компанията блокирала подателя, уведомила властите и информирала клиентите (TechCrunch, Reuters/WHBL).

Остава неизяснено как е възникнала неразрешената пощенска кутия. Възможно е да е бил превзет съществуващ профил, да е създаден нов чрез слабост в администрирането или това да е станало със съдействие отвътре. Revolut не е разкрила коя е институцията, в коя държава се намира, какъв е домейнът или кой стои зад атаката (TechCrunch).

Какви данни са напуснали компанията

В уведомлението до клиентите е описан широк набор от информация. Данните за самоличност включват копия от паспорт и шофьорска книжка, селфито от регистрацията, пълното име, датата на раждане и професията. Предоставени са още пощенски и електронен адрес и телефонен номер, както и банкови извлечения с международен номер на сметката, данни за тегленията и пълна история на трансакциите, включително тези с биткойн (TechCrunch, The Block).

Revolut прави важно разграничение: предадено е селфито от регистрацията, но не и математическият шаблон, който системата за лицево разпознаване създава от снимката. Самото изображение на лицето обаче остава чувствителна информация. В съчетание с копие от паспорт то би могло да послужи при опит за кражба на самоличност, макар че много системи за проверка изискват и доказване, че пред камерата стои жив човек, както и допълнителни проверки.

Сред разкритите данни няма пароли, еднократни кодове, номера на карти, удостоверителни токени или частни ключове за криптоактиви. Именно тези данни дават пряк достъп до профила. Изтеклата информация обаче позволява много по-убедителни целеви измами. Престъпник, който посочва действителни трансакции, истински номера на сметки и известен адрес, по-трудно ще бъде разпознат като измамник от изпращач на общо съобщение (насоки на NCSC при пробиви в данните).

Revolut съобщи за „ограничен брой“ засегнати клиенти, без да уточни общия им брой, разпределението по държави или периода на инцидента. Белгийски медии съобщиха, позовавайки се на неназовани източници, че сред жертвите има белгийски граждани, но липсва потвърждение от първоизточник (The Brussels Times).

Провалът е в начина, по който е проверено искането. Удостоверяването на имейл домейна показва на банката инфраструктурата на коя организация е изпратила съобщението. То не доказва, че човекът зад него има правомощия да изисква клиентски досиета. Ако банките приемат проверката на домейна за достатъчна, остават уязвими за точно този вид измама. Случаят с Revolut показва необходимостта отделно да се удостоверяват самоличността на заявителя и правното основание на искането.