Revolut uzticējās īstam valdības domēnam

E-pasts bija nosūtīts no īsta valsts iestādes domēna. Tas izturēja standarta pārbaudes, kas apliecina, ka ziņojums patiešām nācis no norādītās organizācijas. E-pastā tika pieprasīti klientu dati, un Revolut tos izsniedza: personu apliecinošu dokumentu kopijas, pašportretus, kontu izrakstus un darījumu vēsturi. Vēlāk atklājās, ka pieprasījumu bija nosūtījis krāpnieks (TechCrunch).

Finanšu tehnoloģiju uzņēmums notikušo apstiprināja sestdien, kad skartie klienti sāka publiskot saņemtos paziņojumus. Savu vēstuli publicēja arī bijušais Mt. Gox vadītājs Marks Karpeless, tā apliecinot, ka ir viens no cietušajiem (The Block). Revolut norādīja, ka nepiederošas personas neesot piekļuvušas bankas platformai un nauda neesot nozagta. Uzņēmums pats izsniedza dokumentus, reaģējot uz viltotajiem pieprasījumiem. Revolut paziņojumā teikts, ka krāpnieks izmantojis neatļauti izveidotu kontu kādas vārdā nenosauktas valsts iestādes īstajā e-pasta sistēmā (Security Affairs).

Pasta zīmogs bija īsts, bet sūtītājam nebija pilnvaru

Saņemot e-pastu, pakalpojuma sniedzējs automātiski veic autentiskuma pārbaudes. Tās nosaka, vai domēna īpašnieks ir atļāvis izmantot attiecīgo pasta serveri un vai ziņojums pārsūtīšanas laikā nav mainīts. Tas līdzinās pārbaudei, vai uz vēstules ir īsts valsts pasta nodaļas zīmogs.

Īsts pasta zīmogs tomēr neapliecina, ka vēstules autors drīkstēja pieprasīt informāciju. Revolut paziņojums liecina, ka derīga domēna autentifikācija bijusi viens no galvenajiem iemesliem, kādēļ pieprasījums atzīts par likumīgu. Uzņēmums nav atklājis, vai pirms dokumentu izsniegšanas atsevišķi pārbaudījis pieprasītāja identitāti un juridisko pamatu datu saņemšanai (Security Affairs, CyberInsider).

Revolut vispirms izsniedza informāciju un tikai pēc tam pats sazinājās ar attiecīgo valsts iestādi. Tad uzņēmums noskaidroja, ka pieprasījumi nav bijuši pilnvaroti. Revolut bloķēja sūtītāju, informēja iestādes un paziņoja klientiem (TechCrunch, Reuters/WHBL).

Nav zināms, kā radusies nepilnvarotā pastkaste. Uzbrucējs varēja pārņemt jau esošu kontu, izmantot administrēšanas sistēmas nepilnību jauna konta izveidei vai saņemt palīdzību no iestādes darbinieka. Revolut nav nosaucis ne iestādi un tās valsti, ne domēnu vai uzbrucēju (TechCrunch).

Kādi dati tika izsniegti

Klientiem nosūtītajā paziņojumā uzskaitīts plašs datu kopums. Personu identificējošie dati ietvēra pases un vadītāja apliecības kopijas, reģistrācijas laikā uzņemto pašportretu, pilnu vārdu, dzimšanas datumu un nodarbošanos. Izsniegta arī pasta adrese, e-pasta adrese un tālruņa numurs. Finanšu dokumentos bija kontu izraksti ar IBAN numuru, naudas izņemšanas dati un pilna darījumu vēsture, tostarp darījumi ar Bitcoin (TechCrunch, The Block).

Revolut uzsvēra, ka izsniegts reģistrācijas laikā uzņemtais pašportrets, bet ne matemātiskais paraugs, ko no attēla izveido sejas atpazīšanas sistēma. Arī sejas fotogrāfija ir sensitīva informācija. Kopā ar pases kopiju tā var palīdzēt mēģināt nozagt personas identitāti, lai gan daudzas identitātes pārbaudes sistēmas pieprasa arī dzīvuma pārbaudi un citus apliecinājumus.

Starp izsniegtajiem datiem nebija paroļu, vienreizlietojamo kodu, maksājumu karšu numuru, autentifikācijas marķieru vai kriptoaktīvu privāto atslēgu. Šie dati ļautu piekļūt kontam. Toties noplūdusī informācija palīdz veidot pārliecinošākus, konkrētam cilvēkam pielāgotus pikšķerēšanas uzbrukumus. Krāpnieku ir grūtāk atpazīt, ja viņš spēj minēt īstus darījumus, kontu numurus un zināmu adresi, nevis sūta vispārīgu krāpniecisku ziņu (NCSC data-breach guidance).

Revolut paziņoja, ka skarts „ierobežots skaits” klientu, taču neatklāja ne kopējo skaitu, ne sadalījumu pa valstīm, ne incidenta laikposmu. Beļģijas mediji, atsaucoties uz vārdā nenosauktiem avotiem, ziņoja par cietušajiem Beļģijā, taču pirmavots to nav apstiprinājis (The Brussels Times).

Incidenta pamatā ir nepietiekama pieprasījuma pārbaude. E-pasta domēna autentifikācija bankai pasaka, kuras organizācijas infrastruktūra nosūtījusi ziņojumu. Tā neapliecina, ka infrastruktūras lietotājam bija tiesības pieprasīt klientu dokumentus. Ja banka, izskatot datu pieprasījumu, paļaujas tikai uz domēna pārbaudi, ar šādu shēmu to var maldināt. Revolut gadījums parāda, ka bankai jāpārbauda gan pats pieprasītājs, gan datu izsniegšanas juridiskais pamats, ne tikai ziņojuma izcelsme.