Kormányzati domain csapta be a Revolutot

A levél valódi kormányzati domainről érkezett, és átment azokon a szokásos ellenőrzéseken, amelyek azt vizsgálják, valóban a feltüntetett szervezet rendszeréből küldték-e. Mivel az üzenet ügyféladatokat kért, a Revolut teljesítette a kérést: személyazonosító okmányokat, szelfiket, bankszámlakivonatokat és tranzakciós előzményeket adott át. Később kiderült, hogy csaló volt a címzett (TechCrunch).

A fintechcég szombaton erősítette meg az incidenst, miután az érintett ügyfelek megosztották az erről kapott értesítéseket. Mark Karpelès, az Mt. Gox korábbi vezérigazgatója nyilvánosságra hozta a saját levelét, ezzel jelezve, hogy ő is az áldozatok között van (The Block). A Revolut szerint illetéktelenek nem fértek hozzá a banki rendszeréhez, és pénzt sem loptak el. Az adatokat maga a vállalat adta ki a hamis megkeresésekre válaszolva, mert – saját tájékoztatása szerint – megtévesztette egy meg nem nevezett kormányzati szerv valódi levelezési rendszerében létrehozott, jogosulatlan fiók (Security Affairs).

A postabélyegző valódi volt, a feladó felhatalmazása nem

Egy beérkező e-mailnél a levelezőszolgáltató a háttérben automatikusan hitelesítési ellenőrzéseket végez. Ezekből az derül ki, hogy a domain tulajdonosa engedélyezte-e a küldő szerver használatát, illetve módosították-e az üzenetet továbbítás közben. Ez ahhoz hasonlítható, amikor egy levélről megállapítják, hogy valódi kormányzati postahivatal hiteles bélyegzőjét viseli.

A valódi bélyegző azonban nem bizonyítja, hogy a levél írója jogosult volt az adatok kikérésére. A Revolut értesítése alapján a domain sikeres hitelesítése nagyban hozzájárult ahhoz, hogy a cég szabályosnak tekintse a megkeresést. A vállalat nem közölte, hogy az adatok átadása előtt külön ellenőrizte-e a kérelmező személyazonosságát és jogi felhatalmazását (Security Affairs, CyberInsider).

A Revolut előbb kiadta az adatokat, és csak ezután lépett közvetlenül kapcsolatba az érintett kormányzati szervvel. Ekkor tudta meg, hogy a kérelmeket nem engedélyezték. A cég ezt követően letiltotta a feladót, értesítette a hatóságokat és tájékoztatta az ügyfeleket (TechCrunch, Reuters/WHBL).

Egyelőre nem tudni, hogyan jött létre az illetéktelenül használt postafiók. Feltörhettek egy már létező fiókot, egy adminisztratív hiányosságot kihasználva újat hozhattak létre, vagy belső segítséget kaphattak. A Revolut sem az érintett szervet, sem annak országát és domainjét, sem a támadót nem nevezte meg (TechCrunch).

Milyen adatok kerültek ki?

Az ügyfeleknek küldött értesítés hosszú listát közölt. A személyes adatok között szerepelt az útlevél és a jogosítvány másolata, a regisztrációkor készített szelfi, a teljes név, a születési idő és a foglalkozás. Átadták továbbá a lakcímet, az e-mail-címet és a telefonszámot, valamint az IBAN-t tartalmazó bankszámlakivonatokat, a készpénzfelvételek adatait és a teljes tranzakciós előzményt, köztük a bitcoinügyleteket is (TechCrunch, The Block).

A Revolut közlése különbséget tett a regisztrációs szelfi és az arcfelismerő rendszer által abból képzett matematikai sablon között: az előbbit kiadták, az utóbbit nem. Az arckép ettől még érzékeny adat. Egy útlevélmásolattal együtt felhasználható személyazonossággal való visszaéléshez, bár számos ellenőrzési rendszer élőségvizsgálatot és más kontrollokat is alkalmaz.

A kiadott adatok között nem voltak jelszavak, egyszer használatos kódok, bankkártyaszámok, hitelesítési tokenek vagy kriptoeszközökhöz tartozó privát kulcsok. Ezekkel közvetlenül be lehetne lépni egy fiókba. A kiszivárgott információk ugyanakkor jóval hihetőbbé tehetik a célzott adathalászatot: nehezebb felismerni a csalást, ha az elkövető valódi tranzakciókra, létező számlaszámokra és a címzett tényleges lakcímére hivatkozik (NCSC data-breach guidance).

A Revolut „korlátozott számú” érintett ügyfélről beszélt, de sem a pontos létszámot, sem az országonkénti megoszlást, sem az incidens időszakát nem közölte. Belga sajtóorgánumok meg nem nevezett forrásokra hivatkozva belga áldozatokról is beszámoltak, ezt azonban elsődleges forrás nem erősítette meg (The Brussels Times).

Az eset középpontjában a hiányos ellenőrzés áll. Az e-mail-domain hitelesítése csak azt mutatja meg a banknak, melyik szervezet informatikai rendszeréből érkezett az üzenet; azt már nem, hogy a rendszert használó személy jogosult volt-e ügyféladatokat követelni. Ha egy bank önmagában elegendőnek tekinti a domainellenőrzést, éppen az ilyen visszaélésekkel szemben marad védtelen. A Revolut esete arra világít rá, hogy az üzenet eredete mellett a kérelmező személyazonosságát és az adatkérés jogalapját is külön ellenőrizni kell.