Η Revolut εμπιστεύτηκε κρατικό domain

Το μήνυμα προερχόταν από πραγματικό κυβερνητικό τομέα και είχε περάσει τους συνήθεις ελέγχους που πιστοποιούν ότι ένα email στάλθηκε πράγματι από την υποδομή του οργανισμού τον οποίο επικαλείται. Καθώς ζητούσε στοιχεία πελατών, η Revolut ανταποκρίθηκε, αποστέλλοντας έγγραφα ταυτοποίησης, φωτογραφίες προσώπου, τραπεζικά αντίγραφα και ιστορικό συναλλαγών. Στη συνέχεια αποδείχθηκε ότι ο αποστολέας ήταν απατεώνας (TechCrunch).

Η εταιρεία χρηματοοικονομικής τεχνολογίας επιβεβαίωσε το περιστατικό το Σάββατο, όταν πελάτες που επηρεάστηκαν άρχισαν να δημοσιοποιούν τις σχετικές ειδοποιήσεις. Μεταξύ των θυμάτων βρίσκεται ο πρώην διευθύνων σύμβουλος της Mt. Gox, Μαρκ Καρπελές, ο οποίος ανάρτησε τη δική του επιστολή (The Block). Σύμφωνα με τη Revolut, δεν υπήρξε μη εξουσιοδοτημένη πρόσβαση στην τραπεζική της πλατφόρμα ούτε εκλάπησαν χρήματα. Τα αρχεία παραδόθηκαν επειδή η εταιρεία εξαπατήθηκε από αιτήματα που, όπως αναφέρει η ενημέρωσή της, στάλθηκαν μέσω μη εξουσιοδοτημένου λογαριασμού μέσα στην πραγματική υποδομή ηλεκτρονικού ταχυδρομείου μιας κατονομαζόμενης μόνο ως κυβερνητικής υπηρεσίας (Security Affairs).

Η σφραγίδα ήταν γνήσια, όχι όμως και η εξουσιοδότηση του αποστολέα

Κατά την παραλαβή ενός email, ο πάροχος εκτελεί αυτόματα ελέγχους αυθεντικότητας, ώστε να διαπιστώσει αν ο διακομιστής αποστολής είχε εγκριθεί από τον κάτοχο του τομέα και αν το μήνυμα αλλοιώθηκε κατά τη μεταφορά. Είναι το ψηφιακό αντίστοιχο της επιβεβαίωσης ότι μια επιστολή φέρει γνήσια σφραγίδα από πραγματικό κυβερνητικό ταχυδρομείο.

Μια γνήσια σφραγίδα, ωστόσο, δεν αποδεικνύει ότι ο συντάκτης της επιστολής είχε αρμοδιότητα να υποβάλει το αίτημα. Από την ενημέρωση της Revolut προκύπτει ότι η έγκυρη πιστοποίηση του κυβερνητικού τομέα συνέβαλε αποφασιστικά στο να θεωρηθεί νόμιμη η επικοινωνία. Η εταιρεία δεν έχει διευκρινίσει αν, προτού παραδώσει τα αρχεία, εξακρίβωσε με ανεξάρτητο τρόπο την ταυτότητα του αιτούντος ή τη νομική βάση του αιτήματος (Security Affairs, CyberInsider).

Η Revolut παρέδωσε πρώτα τις πληροφορίες και επικοινώνησε κατόπιν ανεξάρτητα με την κυβερνητική υπηρεσία, οπότε διαπίστωσε ότι τα αιτήματα δεν ήταν εξουσιοδοτημένα. Στη συνέχεια απέκλεισε τον αποστολέα, ενημέρωσε τις αρμόδιες αρχές και ειδοποίησε τους πελάτες (TechCrunch, Reuters/WHBL).

Παραμένει άγνωστο πώς δημιουργήθηκε το μη εξουσιοδοτημένο γραμματοκιβώτιο. Ενδέχεται να επρόκειτο για παραβίαση υφιστάμενου λογαριασμού, για νέο λογαριασμό που δημιουργήθηκε λόγω αδυναμίας στη διαχείριση του συστήματος ή για ενέργεια με τη συνδρομή προσώπου εκ των έσω. Η Revolut δεν έχει κατονομάσει την υπηρεσία, τη χώρα, τον τομέα ή τον δράστη (TechCrunch).

Ποια δεδομένα παραδόθηκαν

Η ειδοποίηση προς τους πελάτες περιγράφει ένα εκτεταμένο σύνολο προσωπικών δεδομένων. Στα στοιχεία ταυτοποίησης περιλαμβάνονταν αντίγραφα διαβατηρίων και αδειών οδήγησης, η φωτογραφία προσώπου που λαμβάνεται κατά το άνοιγμα του λογαριασμού, το ονοματεπώνυμο, η ημερομηνία γέννησης και το επάγγελμα. Παραδόθηκαν επίσης η ταχυδρομική και η ηλεκτρονική διεύθυνση, ο αριθμός τηλεφώνου, αντίγραφα λογαριασμών με IBAN, στοιχεία αναλήψεων και ολόκληρο το ιστορικό συναλλαγών, συμπεριλαμβανομένων των συναλλαγών σε Bitcoin (TechCrunch, The Block).

Η Revolut διευκρίνισε ότι παρέδωσε τη φωτογραφία προσώπου που χρησιμοποιήθηκε κατά την εγγραφή, όχι όμως το μαθηματικό πρότυπο που παράγει από αυτήν ένα σύστημα αναγνώρισης προσώπου. Η διάκριση έχει τεχνική σημασία, χωρίς να καθιστά τη φωτογραφία ακίνδυνη: όταν συνδυάζεται με αντίγραφο διαβατηρίου, μπορεί να διευκολύνει μια απόπειρα υποκλοπής ταυτότητας, αν και πολλά συστήματα επαλήθευσης απαιτούν επιπλέον έλεγχο ζωντανής παρουσίας και άλλες δικλίδες ασφαλείας.

Στα αρχεία που κοινοποιήθηκαν δεν περιλαμβάνονταν κωδικοί πρόσβασης, κωδικοί μίας χρήσης, αριθμοί καρτών, διακριτικά πιστοποίησης ή ιδιωτικά κλειδιά κρυπτονομισμάτων, δηλαδή τα στοιχεία που επιτρέπουν την είσοδο σε έναν λογαριασμό. Τα δεδομένα που διέρρευσαν μπορούν, παρ’ όλα αυτά, να κάνουν μια στοχευμένη επίθεση ηλεκτρονικού «ψαρέματος» πολύ πιο πειστική: ένας απατεώνας που γνωρίζει πραγματικές συναλλαγές, αριθμούς λογαριασμών και τη σωστή διεύθυνση κατοικίας είναι δυσκολότερο να αναγνωριστεί από εκείνον που στέλνει ένα γενικό μήνυμα εξαπάτησης (οδηγίες του NCSC για παραβιάσεις δεδομένων).

Η Revolut έκανε λόγο για «περιορισμένο αριθμό» πελατών, χωρίς να δημοσιοποιήσει το σύνολο, την κατανομή ανά χώρα ή το χρονικό διάστημα κατά το οποίο υποβλήθηκαν τα αιτήματα. Βελγικά μέσα ενημέρωσης ανέφεραν, επικαλούμενα ανώνυμες πηγές, ότι υπάρχουν θύματα στο Βέλγιο, χωρίς όμως να έχει υπάρξει επιβεβαίωση από πρωτογενή πηγή (The Brussels Times).

Στον πυρήνα του περιστατικού βρίσκεται η ανεπάρκεια της διαδικασίας επαλήθευσης. Η πιστοποίηση ενός τομέα ηλεκτρονικού ταχυδρομείου πληροφορεί μια τράπεζα ποιανού οργανισμού η υποδομή έστειλε το μήνυμα· δεν αποδεικνύει ότι το πρόσωπο που τη χρησιμοποίησε είχε την αρμοδιότητα να απαιτήσει τους φακέλους πελατών. Όταν μια τράπεζα θεωρεί αυτούς τους τεχνικούς ελέγχους επαρκείς για την έγκριση ενός αιτήματος δεδομένων, παραμένει ευάλωτη ακριβώς σε αυτή τη μορφή εξαπάτησης. Η υπόθεση της Revolut ανέδειξε το ουσιαστικό κενό: απαιτείται ανεξάρτητη πιστοποίηση τόσο του αιτούντος όσο και της νομικής βάσης του αιτήματος, όχι μόνο της προέλευσης του μηνύματος.