Revolut luotti aitoon viranomaisverkkotunnukseen

Tietopyyntö tuli aidosta viranomaisverkkotunnuksesta. Viesti läpäisi tavanomaiset tarkistukset, joilla varmistetaan lähettäjäorganisaatio ja viestin muuttumattomuus. Revolut luovutti pyydetyt asiakastiedot: henkilöllisyystodistuksia, kasvokuvia, tiliotteita ja maksutapahtumahistorioita. Pyynnön esittäjä osoittautui huijariksi (TechCrunch).

Finanssiteknologiayhtiö vahvisti tapahtuneen lauantaina asiakkaiden alettua julkaista saamiaan ilmoituksia. Mt. Goxin entinen toimitusjohtaja Mark Karpelès kertoi julkisesti kuuluvansa uhreihin (The Block). Revolutin mukaan sen pankkijärjestelmään ei tunkeuduttu eikä tileiltä viety rahaa. Yhtiö luovutti tiedot itse saatuaan petolliset pyynnöt tililtä, joka oli luotu luvatta nimeämättömän viranomaisen aitoon sähköpostijärjestelmään (Security Affairs).

Postileima oli aito, mutta kirjoittajalla ei ollut valtuuksia

Sähköpostipalvelu tarkistaa viestin taustalla lähettäjän aitouden. Tarkistuksilla varmistetaan, että verkkotunnuksen haltija on hyväksynyt lähettävän palvelimen ja ettei viestiä ole muutettu matkalla. Menetelmä vastaa aidon postileiman tunnistamista viranomaisen lähettämästä kirjeestä.

Aito postileima ei kuitenkaan todista kirjoittajan oikeutta esittää tietopyyntöä. Revolutin asiakasilmoituksen perusteella verkkotunnuksen läpäisemät aitoustarkistukset vaikuttivat olennaisesti siihen, että pyyntö hyväksyttiin. Yhtiö ei ole kertonut, tarkistiko se pyynnön esittäjän henkilöllisyyden tai tietojen luovutuksen oikeusperustan erikseen ennen aineiston lähettämistä (Security Affairs, CyberInsider).

Revolut varmisti pyynnön aitouden viranomaiselta vasta tietojen luovuttamisen jälkeen. Silloin selvisi, ettei pyynnölle ollut valtuutusta. Yhtiö esti lähettäjän, ilmoitti tapauksesta viranomaisille ja tiedotti asiakkaille (TechCrunch, Reuters/WHBL).

Luvattoman sähköpostitilin syntytapaa ei tunneta. Kyseessä saattoi olla kaapattu käyttäjätili, hallinnollisen heikkouden avulla perustettu uusi tili tai sisäpiiriläisen avustama järjestely. Revolut ei ole nimennyt viranomaista, valtiota, verkkotunnusta eikä hyökkääjää (TechCrunch).

Mitä tietoja luovutettiin

Asiakkaille lähetetyn ilmoituksen perusteella tietopaketti oli laaja. Henkilötietoihin kuuluivat passin ja ajokortin jäljennökset, asiakkuutta avattaessa otettu kasvokuva, koko nimi, syntymäaika ja ammatti. Lisäksi luovutettiin postiosoite, sähköpostiosoite ja puhelinnumero. Taloustietoihin kuuluivat IBAN-tilinumeron sisältävät tiliotteet, nostotiedot sekä täydellinen maksutapahtumahistoria Bitcoin-siirtoineen (TechCrunch, The Block).

Revolut täsmensi, että yhtiö luovutti asiakkuuden avaamisen yhteydessä otetun kasvokuvan mutta ei kasvojentunnistusjärjestelmän kuvasta muodostamaa matemaattista mallia. Kasvokuva on silti arkaluonteinen henkilötieto. Yhdessä passijäljennöksen kanssa sitä voidaan yrittää käyttää identiteettivarkauteen, vaikka monet tunnistusjärjestelmät vaativat myös elollisuustestin ja muita tarkistuksia.

Luovutettuihin tietoihin eivät kuuluneet salasanat, kertakäyttökoodit, korttinumerot, tunnistautumistunnisteet tai kryptovarojen yksityiset avaimet. Niitä käytetään tilille kirjautumiseen ja varojen hallintaan. Vuotaneet tiedot helpottavat kuitenkin kohdennettua tietojenkalastelua. Huijaus on uskottavampi, jos rikollinen tuntee oikeita maksutapahtumia, tilinumeroita ja osoitteita (NCSC data-breach guidance).

Revolutin mukaan tapaus koski ”rajattua määrää” asiakkaita. Yhtiö ei ilmoittanut kokonaismäärää, maakohtaista jakaumaa eikä tapahtuma-aikaa. Belgialaismedia kertoi nimettömiin lähteisiin vedoten uhrien joukossa olevan belgialaisia, mutta tiedolle ei ole ensisijaista vahvistusta (The Brussels Times).

Tapauksen ydin on puutteellinen varmennus. Verkkotunnuksen aitoustarkistus kertoo pankille, minkä organisaation järjestelmästä viesti lähetettiin. Se ei osoita, että järjestelmää käyttänyt henkilö sai vaatia asiakastietoja. Jos pankki hyväksyy tietopyynnön pelkän sähköpostitarkistuksen perusteella, aidon viranomaistilin väärinkäyttö riittää suojauksen ohittamiseen. Revolutin tapaus osoittaa, että erikseen on varmennettava sekä pyynnön esittäjä että tietojen luovutuksen oikeusperusta.