Revolut suklaidino tikras valdžios domenas

Elektroninis laiškas buvo išsiųstas iš tikro valdžios institucijos domeno. Jis sėkmingai perėjo įprastas patikras, turėjusias patvirtinti, kad laiškas iš tiesų atkeliavo iš nurodytos organizacijos, o siuntėjas prašė pateikti klientų duomenis. Todėl „Revolut“ perdavė tapatybės dokumentus, asmenukes, banko sąskaitų išrašus ir operacijų istoriją. Vėliau paaiškėjo, kad duomenų prašė sukčiai (TechCrunch).

Finansinių technologijų bendrovė incidentą patvirtino šeštadienį, paveiktiems klientams pradėjus viešinti gautus pranešimus. Buvęs Mt. Gox vadovas Markas Karpelèsas paskelbė jam atsiųstą laišką ir taip patvirtino esąs vienas nukentėjusiųjų (The Block). „Revolut“ teigimu, prie bankininkystės platformos neteisėtai prisijungta nebuvo, klientų lėšos nepavogtos. Duomenis pati bendrovė perdavė atsakydama į apgaulingas užklausas: kaip nurodyta jos pranešime, neįvardytos valstybės institucijos tikroje elektroninio pašto sistemoje buvo sukurta neleistina paskyra (Security Affairs).

Pašto spaudas buvo tikras, tačiau laiško autorius neturėjo įgaliojimų

Gavus elektroninį laišką, pašto paslaugų teikėjas automatiškai atlieka autentiškumo patikras. Jomis nustatoma, ar laišką išsiuntusiam serveriui domeno savininkas buvo suteikęs tokį leidimą ir ar siunčiamas laiškas nebuvo pakeistas. Tai galima palyginti su patvirtinimu, kad ant voko uždėtas tikras valstybės pašto skyriaus spaudas.

Tikras pašto spaudas dar neįrodo, kad laiško autorius turėjo teisę prašyti informacijos. Iš „Revolut“ pranešimo matyti, jog sėkmingai patvirtintas domeno autentiškumas buvo viena pagrindinių priežasčių, dėl kurių užklausa palaikyta teisėta. Bendrovė neatskleidė, ar prieš perduodama duomenis atskirai patikrino prašymą pateikusio asmens tapatybę ir teisinį pagrindą (Security Affairs, CyberInsider).

„Revolut“ pirmiausia perdavė informaciją ir tik vėliau savarankiškai susisiekė su valdžios institucija, iš kurios domeno buvo siunčiami laiškai. Tuomet paaiškėjo, kad užklausos neleistinos. Bendrovė užblokavo siuntėją, informavo atsakingas institucijas ir pranešė klientams (TechCrunch, Reuters/WHBL).

Kaip atsirado neleistina pašto dėžutė, kol kas nenustatyta. Galėjo būti perimta jau veikusi paskyra, pasinaudojus administravimo spraga sukurta nauja paskyra arba tai padaryta padedant organizacijos darbuotojui. „Revolut“ neįvardijo nei institucijos ir jos valstybės, nei domeno ar užpuoliko (TechCrunch).

Kokie duomenys buvo perduoti

Klientams išsiųstame pranešime išvardytas platus duomenų rinkinys. Tarp tapatybės duomenų buvo pasų ir vairuotojo pažymėjimų kopijos, registruojantis padaryta asmenukė, vardas ir pavardė, gimimo data bei profesija. Taip pat perduotas pašto ir elektroninio pašto adresas bei telefono numeris. Finansiniai duomenys apėmė sąskaitų išrašus su IBAN, pinigų išėmimo duomenis ir visą operacijų, įskaitant sandorius bitkoinais, istoriją (TechCrunch, The Block).

„Revolut“ pranešime pabrėžtas skirtumas: perduota registruojantis padaryta asmenukė, tačiau ne matematinis šablonas, kurį iš jos sukuria veido atpažinimo sistema. Vis dėlto veido nuotrauka tebėra jautrus duomuo. Turėdamas ją kartu su paso kopija, užpuolikas galėtų mėginti pasisavinti kito asmens tapatybę, nors daugelyje tikrinimo sistemų papildomai reikalaujama įrodyti, kad prieš kamerą yra gyvas žmogus, ir atliekamos kitos patikros.

Slaptažodžių, vienkartinių kodų, mokėjimo kortelių numerių, tapatumo nustatymo žetonų ir kriptoturto privačiųjų raktų tarp perduotų duomenų nebuvo. Būtent šie duomenys naudojami prisijungti prie paskyros. Tačiau nutekėjusi informacija leidžia parengti gerokai įtikinamesnius tikslinius sukčiavimo laiškus: nusikaltėlio žinutę, kurioje nurodytos tikros operacijos, sąskaitų numeriai ir žinomas adresas, atpažinti sunkiau nei bendro pobūdžio apgaulę (NCSC data-breach guidance).

„Revolut“ nurodė, kad paveiktas „ribotas skaičius“ klientų, tačiau neatskleidė nei jų skaičiaus, nei pasiskirstymo pagal valstybes ar laikotarpio, kuriuo duomenys buvo perduodami. Belgijos žiniasklaida, remdamasi neįvardytais šaltiniais, pranešė apie nukentėjusius Belgijos klientus, bet pirminio šio teiginio patvirtinimo nėra (The Brussels Times).

Šio incidento esmė – nepakankamas prašymo patikrinimas. Elektroninio pašto domeno autentiškumo patvirtinimas bankui parodo, kurios organizacijos infrastruktūra pasinaudota siunčiant laišką, tačiau neatsako, ar ją naudojęs asmuo turėjo teisę reikalauti klientų bylų. Bankai, domeno patikrą laikantys pakankamu pagrindu perduoti duomenis, lieka pažeidžiami tokios apgaulės. „Revolut“ atvejis parodė spragą: būtina tikrinti ne vien laiško kilmę, bet ir prašymą pateikusio asmens įgaliojimus bei teisinį pagrindą.