Revolut nasjeo na autentičnu državnu domenu

Elektronička poruka stigla je sa stvarne domene državnog tijela. Prošla je uobičajene provjere kojima se potvrđuje da poruka doista potječe iz organizacije navedene kao pošiljatelj, a sadržavala je zahtjev za dostavu podataka o klijentima. Revolut je stoga pošiljatelju predao osobne dokumente, fotografije lica, bankovne izvatke i povijest transakcija. Naknadno se pokazalo da je zahtjev bio prijevara (TechCrunch).

Financijskotehnološka tvrtka potvrdila je incident u subotu, nakon što su pogođeni klijenti počeli objavljivati primljene obavijesti. Među žrtvama je i bivši glavni izvršni direktor burze Mt. Gox Mark Karpelès, koji je javno podijelio svoju poruku (The Block). Prema Revolutu, nitko nije neovlašteno pristupio njegovoj bankarskoj platformi niti je tijekom incidenta ukraden novac. Tvrtka je sama dostavila podatke jer ju je zavarala, kako stoji u njezinoj obavijesti, neovlašteno otvorena adresa unutar stvarnog sustava elektroničke pošte neimenovanoga državnog tijela (Security Affairs).

Poštanski je žig bio pravi, ali pošiljatelj nije imao ovlasti

Kada primite elektroničku poruku, pružatelj vaše usluge u pozadini provjerava je li poslužitelj pošiljatelja ovlašten za slanje s navedene domene te je li sadržaj izmijenjen tijekom prijenosa. To je usporedivo s potvrdom da pismo nosi pravi poštanski žig stvarnoga državnog ureda.

Pravi žig, međutim, ne dokazuje da je osoba koja je napisala zahtjev ovlaštena tražiti podatke. Iz Revolutove obavijesti proizlazi da je valjana provjera domene bila jedan od glavnih razloga zbog kojih je zahtjev prihvaćen kao vjerodostojan. Tvrtka nije objavila je li prije predaje podataka zasebno provjerila identitet podnositelja ni pravnu osnovu njegova zahtjeva (Security Affairs, CyberInsider).

Revolut je podatke najprije predao, a tek potom izravno kontaktirao državno tijelo i doznao da zahtjevi nisu bili odobreni. Nakon toga blokirao je pošiljatelja, obavijestio nadležna tijela i upozorio pogođene klijente (TechCrunch, Reuters/WHBL).

Još nije poznato kako je neovlašteni poštanski sandučić nastao. Netko je mogao preuzeti postojeći korisnički račun, iskoristiti slabost u upravljanju sustavom kako bi otvorio novi ili dobiti pomoć osobe iz same institucije. Revolut nije otkrio o kojem je tijelu i državi riječ, niti je objavio domenu ili identitet napadača (TechCrunch).

Koji su podaci napustili Revolut

Popis iz obavijesti klijentima bio je opsežan. Među osobnim dokumentima i podacima nalazile su se preslike putovnice i vozačke dozvole, fotografija lica snimljena pri otvaranju računa, puno ime i prezime, datum rođenja i zanimanje. Otkriveni su i poštanska adresa, adresa elektroničke pošte i telefonski broj, dok su financijski podaci obuhvatili izvode s IBAN-om, evidenciju podizanja novca te cjelovitu povijest transakcija, uključujući one u Bitcoinu (TechCrunch, The Block).

Revolut je pritom naglasio razliku između fotografije lica, koja je predana, i matematičkog predloška koji iz nje izrađuje sustav za prepoznavanje lica, a koji nije bio obuhvaćen incidentom. Sama fotografija ipak je osjetljiv podatak. U kombinaciji s preslikom putovnice mogla bi poslužiti za pokušaj krađe identiteta, premda brojni sustavi za provjeru zahtijevaju i dokaz da je pred kamerom živa osoba te dodatne sigurnosne provjere.

Među predanim podacima nisu bile lozinke, jednokratne sigurnosne šifre, brojevi kartica, tokeni za autentifikaciju ni privatni ključevi za kriptoimovinu, odnosno tajni podaci potrebni za prijavu na račun. Otkriveni podaci ipak mogu znatno povećati uvjerljivost ciljane krađe identiteta putem lažnih poruka. Prevaranta koji navede stvarne transakcije, broj računa i poznatu adresu teže je prepoznati od pošiljatelja općenite prijevarne poruke (NCSC data-breach guidance).

Revolut je priopćio da je pogođen „ograničen broj” klijenata, ali nije naveo ukupan broj, raspodjelu po državama ni razdoblje tijekom kojega su podaci predavani. Belgijski su mediji, pozivajući se na neimenovane izvore, izvijestili i o žrtvama u Belgiji, no za to zasad nema potvrde iz primarnog izvora (The Brussels Times).

U središtu incidenta nalazi se pogrešno shvaćena svrha provjere. Autentifikacija domene elektroničke pošte banci potvrđuje iz sustava koje je organizacije poruka poslana, ali ne i da osoba koja tim sustavom upravlja ima ovlast zahtijevati dosjee klijenata. Banka koja takvu tehničku provjeru smatra dovoljnim dokazom izlaže se upravo ovoj vrsti prijevare. Revolutov je slučaj pokazao da zasebno treba potvrditi identitet podnositelja i pravnu osnovu zahtjeva, a ne samo podrijetlo poruke.