Revolut naletěl vládní e-mailové adrese

E-mail přišel ze skutečné vládní domény a prošel běžnými kontrolami, které potvrzují, že zpráva opravdu pochází z infrastruktury uváděné organizace. Jeho odesílatel žádal o záznamy o klientech, a Revolut mu proto vyhověl: poskytl doklady totožnosti, selfie, bankovní výpisy i historii transakcí. Za žádostí však stál podvodník (TechCrunch).

Incident fintechová společnost potvrdila v sobotu poté, co dotčení klienti začali zveřejňovat její informační e-maily. Jeden z nich sdílel bývalý generální ředitel burzy Mt. Gox Mark Karpelès, čímž potvrdil, že patří mezi oběti (The Block). Podle Revolutu nikdo nezískal neoprávněný přístup k jeho bankovní platformě a klientům během incidentu nezmizely žádné peníze. Údaje společnost vydala v reakci na podvodné žádosti, protože je odesílal neoprávněně vytvořený účet uvnitř skutečné e-mailové infrastruktury nejmenovaného státního úřadu, jak Revolut uvedl ve svém oznámení (Security Affairs).

Razítko bylo pravé. Odesílatel oprávnění neměl.

Při doručení e-mailu poskytovatel automaticky provede ověřovací kontroly. Zjišťuje jimi, zda odesílající server měl svolení vlastníka domény a zda zprávu cestou někdo nezměnil. Je to podobné jako ověřit, že dopis nese pravé razítko skutečné státní pošty.

Pravé razítko ovšem nedokládá, že autor dopisu směl danou žádost podat. Z oznámení Revolutu vyplývá, že právě platné ověření domény patřilo k hlavním důvodům, proč společnost žádost považovala za legitimní. Zda před vydáním údajů nezávisle prověřila totožnost žadatele a jeho právní oprávnění, nezveřejnila (Security Affairs, CyberInsider).

Nejprve Revolut informace poskytl. Teprve poté se obrátil přímo na příslušný úřad a zjistil, že žádosti nikdo nepovolil. Následně odesílatele zablokoval, upozornil úřady a informoval klienty (TechCrunch, Reuters/WHBL).

Jak neoprávněná e-mailová schránka vznikla, zatím není jasné. Útočník mohl ovládnout existující účet, vytvořit nový díky chybě ve správě systému nebo získat pomoc někoho zevnitř. Revolut neuvedl název úřadu ani jeho zemi, doménu či totožnost útočníka (TechCrunch).

Jaké údaje Revolut vydal

Podle oznámení klientům šlo o rozsáhlý soubor osobních údajů. Mezi doklady totožnosti patřily kopie pasů a řidičských průkazů, selfie pořízené při zakládání účtu, celé jméno, datum narození a povolání. Kontaktní údaje zahrnovaly poštovní a e-mailovou adresu i telefonní číslo. Z finančních záznamů Revolut poskytl výpisy z účtů včetně IBAN, záznamy o výběrech a úplnou historii transakcí, a to i těch bitcoinových (TechCrunch, The Block).

Revolut v oznámení rozlišil mezi fotografií a biometrickými daty: vydal selfie použité při registraci, nikoli však matematickou šablonu, kterou z něj vytváří systém rozpoznávání obličeje. Citlivá je nicméně i samotná fotografie. Ve spojení s kopií pasu by mohla útočníkovi pomoci při pokusu o krádež identity, i když řada ověřovacích systémů požaduje také kontrolu živosti a další doklady.

Mezi vydanými údaji nebyla hesla, jednorázové kódy, čísla platebních karet, autentizační tokeny ani soukromé klíče ke kryptoměnám, tedy údaje umožňující přihlášení k účtu. Uniklé záznamy však mohou výrazně zvýšit přesvědčivost cílených podvodných zpráv. Pachatel, který uvede skutečné transakce, číslo účtu a správnou adresu, působí důvěryhodněji než odesílatel obecného podvodu (NCSC data-breach guidance).

Podle Revolutu se incident týká „omezeného počtu“ klientů. Společnost však nezveřejnila jejich celkový počet, rozdělení podle zemí ani období, během něhož údaje vydávala. Belgická média s odvoláním na nejmenované zdroje informovala také o obětech v Belgii, z původního zdroje to ale potvrzeno není (The Brussels Times).

Jádrem incidentu je selhání při ověřování žádosti. Kontrola e-mailové domény bance pouze potvrdí, z infrastruktury které organizace zpráva přišla. Neříká nic o tom, zda osoba využívající tuto infrastrukturu směla požadovat klientské spisy. Pokud banka považuje kontrolu domény za dostatečné ověření žádosti o údaje, může naletět právě tímto způsobem. Případ Revolutu ukázal, že vedle původu zprávy je nutné samostatně ověřit totožnost žadatele i právní titul, na jehož základě údaje požaduje.