Revolut usaldas ehtsat valitsusdomeeni

Kiri saabus ehtsalt valitsusasutuse domeenilt ning läbis tavapärased kontrollid, millega kinnitatakse saatja domeen ja sõnumi muutmata kujul kohalejõudmine. Kirjas küsiti klientide andmeid. Revolut edastas saatjale isikut tõendavad dokumendid, näopildid, pangaväljavõtted ja tehinguajaloo. Hiljem selgus, et päringu taga olid petturid (TechCrunch).

Finantstehnoloogiaettevõte kinnitas juhtumit laupäeval, kui kliendid hakkasid avaldama neile saadetud teavituskirju. Endine Mt. Goxi tegevjuht Mark Karpelès postitas enda kirja ja kinnitas sellega, et oli üks kannatanutest (The Block). Revoluti sõnul ei pääsetud loata tema pangaplatvormile ega varastatud raha. Ettevõte andis andmed ise välja, sest nimetamata valitsusasutuse ehtsasse e-posti taristusse loodud loata konto jättis päringust usaldusväärse mulje (Security Affairs).

Postitempel oli ehtne, kuid kirjutajal puudus volitus

E-kirja saabumisel kontrollib teenusepakkuja taustal selle autentsust. Kontroll näitab, kas domeeni omanik on lubanud kirja saatnud serveril oma nimel sõnumeid edastada ja kas sõnumit muudeti teel adressaadini. Seda võib võrrelda ehtsa postitempliga valitsusasutuse postkontorist saadetud kirjal.

Ehtne postitempel ei tõenda, et kirjutajal oli õigus andmeid küsida. Revoluti teavitusest nähtub, et kehtiv domeenikontroll oli üks peamisi põhjusi, miks ettevõte pidas päringut õiguspäraseks. Ettevõte pole avaldanud, kas kontrollis enne andmete väljastamist eraldi päringu esitaja isikut või tema õiguslikku volitust (Security Affairs, CyberInsider).

Revolut väljastas esmalt andmed ning võttis alles seejärel valitsusasutusega eraldi ühendust. Nii selgus, et päringud polnud volitatud. Ettevõte blokeeris saatja, teavitas ametivõime ja saatis klientidele juhtunu kohta kirja (TechCrunch, Reuters/WHBL).

Pole teada, kuidas loata postkast valitsusasutuse süsteemi tekkis. Võimalik on olemasoleva konto ülevõtmine, uue konto loomine haldusliku turvanõrkuse abil või asutusesisese inimese kaasabi. Revolut pole nimetanud asutust, riiki, domeeni ega ründajat (TechCrunch).

Millised andmed väljastati

Klientidele saadetud teavituse järgi hõlmas andmekogu peaaegu kogu isikusamasuse tuvastamiseks vajalikku materjali. Väljastati passi- ja juhiloakoopiad, konto avamisel tehtud näopilt, täisnimi, sünniaeg ja amet. Kontaktandmetest anti välja postiaadress, e-posti aadress ja telefoninumber. Finantsandmed sisaldasid IBAN-iga kontoväljavõtteid, väljamaksete andmeid ja täielikku tehinguajalugu, sealhulgas Bitcoini tehinguid (TechCrunch, The Block).

Revolut rõhutas, et väljastati konto avamisel tehtud näopilt, kuid mitte näotuvastussüsteemi loodud matemaatilist malli. Ka näofoto on tundlik teave. Koos passikoopiaga võib see aidata toime panna identiteedipettust, kuigi paljud isikusamasuse kontrollimise süsteemid nõuavad lisaks elusoleku tuvastamist ja muid kontrolle.

Lekkinud andmete hulgas polnud paroole, ühekordseid koode, kaardinumbreid, autentimistunnuseid ega krüptovara privaatvõtmeid, millega saab kontole sisse logida või vara käsutada. Väljastatud teave muudab aga sihitud andmepüügi usutavamaks. Petturit, kes nimetab õigeid tehinguid, kontonumbreid ja aadressi, on raskem ära tunda kui üldsõnalise petukirja saatjat (NCSC data-breach guidance).

Revolut teatas, et juhtum puudutas „piiratud arvu“ kliente, kuid ei avaldanud nende koguarvu, jaotust riigiti ega juhtumi ajavahemikku. Belgia meedia teatas anonüümsetele allikatele tuginedes ka Belgia kannatanutest, kuid esmast kinnitust sellele pole (The Brussels Times).

Juhtumi keskmes on puudulik kontroll. Domeeni autentimine ütleb pangale, millise organisatsiooni taristust kiri saadeti, kuid ei tõenda, et taristu kasutajal oli õigus kliendiandmeid nõuda. Kui pank peab domeenikontrolli andmepäringu puhul piisavaks, saab pettur kasutada usaldusväärset taristut volituse asemel. Revoluti juhtum näitab, et lisaks kirja päritolule tuleb eraldi kontrollida päringu esitajat ja andmete nõudmise õiguslikku alust.