Revolut stolede på falske myndighedsmails

Mailen kom fra en ægte myndighedsadresse. Den bestod de almindelige tekniske kontroller, som bekræfter, at en besked stammer fra den organisation, den udgiver sig for at repræsentere. Afsenderen bad om kundeoplysninger, og Revolut udleverede derfor identitetspapirer, selfies, kontoudtog og transaktionshistorik. Men anmodningen var svindel (TechCrunch).

Fintechbanken bekræftede hændelsen lørdag, efter at berørte kunder var begyndt at dele de mails, de havde modtaget fra selskabet. Mark Karpelès, tidligere direktør for kryptobørsen Mt. Gox, offentliggjorde sin besked og bekræftede dermed, at han var blandt ofrene (The Block). Ifølge Revolut fik ingen uvedkommende adgang til bankens platform, og ingen penge blev stjålet. Oplysningerne blev udleveret, fordi en uvedkommende havde oprettet en konto i en ikke-navngiven myndigheds ægte mailsystem og derfra sendt de falske anmodninger (Security Affairs).

Poststemplet var ægte. Afsenderen havde ingen fuldmagt.

Når en mail lander i indbakken, foretager mailudbyderen automatisk en række kontroller. De viser, om den server, som sendte beskeden, var godkendt af domænets ejer, og om indholdet blev ændret undervejs. Det svarer til at kontrollere, at et brev bærer et ægte poststempel fra et rigtigt myndighedskontor.

Et ægte poststempel dokumenterer imidlertid ikke, at brevskriveren havde ret til at fremsætte kravet. Revoluts besked til kunderne tyder på, at den gyldige domænegodkendelse vejede tungt, da banken vurderede anmodningen som legitim. Selskabet har ikke oplyst, om det inden udleveringen foretog en særskilt kontrol af afsenderens identitet og juridiske beføjelser (Security Affairs, CyberInsider).

Revolut udleverede først oplysningerne. Bagefter kontaktede banken selv myndigheden og fik at vide, at anmodningerne ikke var godkendt. Derefter blokerede den afsenderen, underrettede myndighederne og orienterede kunderne (TechCrunch, Reuters/WHBL).

Det er fortsat uvist, hvordan den uvedkommende fik en postkasse på myndighedens domæne. En eksisterende konto kan være blevet overtaget, en ny konto kan være oprettet gennem en administrativ sikkerhedsbrist, eller en person på indersiden kan have hjulpet. Revolut har hverken identificeret myndigheden, landet, domænet eller angriberen (TechCrunch).

De udleverede oplysninger

Kunderne fik besked om, at en omfattende samling personoplysninger var blevet udleveret. Den omfattede kopier af pas og kørekort, den selfie, som kunden tog ved oprettelsen, samt fuldt navn, fødselsdato og beskæftigelse. Dertil kom postadresse, mailadresse og telefonnummer. De finansielle oplysninger omfattede kontoudtog med IBAN, hævninger og den fulde transaktionshistorik, herunder transaktioner med Bitcoin (TechCrunch, The Block).

Revolut fremhævede en teknisk forskel: Selfien fra kundeoprettelsen blev udleveret, mens den matematiske skabelon, som et ansigtsgenkendelsessystem danner ud fra billedet, ikke blev det. Et ansigtsfoto er dog stadig følsomt. Sammen med en paskopi kan det bruges i forsøg på identitetssvindel, selv om mange kontrolsystemer også kræver en såkaldt livstest og andre former for godkendelse.

Adgangskoder, engangskoder, kortnumre, godkendelsestokens og private kryptonøgler var ikke blandt de udleverede oplysninger. Det er disse oplysninger, der normalt giver direkte adgang til en konto. Til gengæld kan de lækkede data gøre målrettede phishingforsøg langt mere troværdige. En svindler, som kan nævne virkelige transaktioner, korrekte kontonumre og kundens adresse, er sværere at gennemskue end afsenderen af en standardsvindelmail (NCSC data-breach guidance).

Revolut oplyste blot, at et »begrænset antal« kunder var berørt. Banken har hverken angivet det samlede antal, fordelingen på lande eller den periode, hvor udleveringerne fandt sted. Belgiske medier har med henvisning til anonyme kilder skrevet, at belgiske kunder er blandt ofrene, men det er ikke bekræftet af en primær kilde (The Brussels Times).

Sagen blotlægger en grundlæggende forskel mellem at kontrollere en besked og at kontrollere et myndighedskrav. Domænegodkendelsen kan fortælle banken, hvilken organisations mailsystem beskeden kom fra. Den kan ikke afgøre, om brugeren af systemet havde ret til at kræve kundeoplysninger udleveret. Hvis banker behandler domænekontrollen som tilstrækkelig dokumentation, kan et kompromitteret myndighedssystem derfor åbne døren til kundernes sagsmapper. Revoluts erfaring viser, at både afsenderens beføjelser og anmodningens juridiske grundlag skal efterprøves særskilt.