Revolut vertrouwde een echt overheidsdomein

De e-mail kwam van een echt overheidsdomein. De gebruikelijke controles bevestigden dat het bericht daadwerkelijk was verstuurd via de infrastructuur van de organisatie die als afzender werd genoemd. In de mail werd om klantgegevens gevraagd. Revolut werkte mee en stuurde identiteitsbewijzen, selfies, bankafschriften en transactieoverzichten naar de afzender. Die bleek een fraudeur te zijn (TechCrunch).

Zaterdag bevestigde de fintech het incident, nadat getroffen klanten hun waarschuwingsmails waren gaan delen. Voormalig Mt. Gox-topman Mark Karpelès publiceerde zijn bericht en maakte daarmee bekend dat ook hij slachtoffer was (The Block). Volgens Revolut kreeg niemand ongeoorloofd toegang tot het bankplatform en is er geen geld gestolen. De gegevens werden door het bedrijf zelf verstrekt op basis van frauduleuze verzoeken. In zijn kennisgeving spreekt Revolut van een onbevoegd aangemaakt account binnen de echte e-mailinfrastructuur van een niet nader genoemde overheidsinstantie (Security Affairs).

Het poststempel klopte. De afzender was niet bevoegd.

Bij ontvangst van een e-mail voert de provider op de achtergrond authenticatiecontroles uit. Die stellen vast of de verzendende server toestemming had van de domeineigenaar en of het bericht onderweg niet is aangepast. Vergelijk het met een brief die aantoonbaar een echt poststempel van een bestaand overheidspostkantoor draagt.

Zo'n echt poststempel bewijst echter niet dat de schrijver bevoegd was om het verzoek te doen. Uit de kennisgeving van Revolut blijkt dat de geldige domeinauthenticatie zwaar woog bij het besluit om het verzoek als legitiem te behandelen. Het bedrijf heeft niet bekendgemaakt of het vóór de gegevensoverdracht ook de identiteit van de verzoeker en diens wettelijke bevoegdheid onafhankelijk heeft gecontroleerd (Security Affairs, CyberInsider).

Eerst verstrekte Revolut de informatie. Pas daarna nam het bedrijf zelf contact op met de overheidsinstantie en ontdekte het dat de verzoeken onbevoegd waren gedaan. Vervolgens blokkeerde Revolut de afzender, waarschuwde het de autoriteiten en bracht het de getroffen klanten op de hoogte (TechCrunch, Reuters/WHBL).

Onduidelijk blijft hoe de onbevoegde mailbox kon ontstaan. Mogelijk was een bestaand account gekraakt, werd via een zwakke plek in het beheer een nieuw account aangemaakt of hielp iemand binnen de organisatie bij het opzetten ervan. Revolut heeft de overheidsinstantie, het betrokken land, de domeinnaam en de aanvaller niet geïdentificeerd (TechCrunch).

Welke gegevens Revolut verstrekte

In de klantmelding staat een omvangrijk gegevenspakket. Onder de identiteitsgegevens vielen kopieën van paspoorten en rijbewijzen, de selfie die bij het openen van de rekening was gemaakt, de volledige naam, geboortedatum en het beroep. Daarnaast gingen adres, e-mailadres en telefoonnummer de deur uit. De financiële gegevens omvatten rekeningafschriften met IBAN, opnamegegevens en de volledige transactiegeschiedenis, inclusief bitcointransacties (TechCrunch, The Block).

Revolut maakte daarbij één onderscheid: de registratieselfie werd wel verstrekt, maar niet het wiskundige sjabloon dat gezichtsherkenningssoftware daarvan maakt. Ook een gewone gezichtsfoto is overigens gevoelig. In combinatie met een paspoortscan kan die een aanvaller helpen bij identiteitsfraude, al verlangen veel verificatiesystemen daarnaast een echtheidscontrole en andere bewijzen.

Wachtwoorden, eenmalige codes, kaartnummers, authenticatietokens en privésleutels voor cryptovaluta behoorden niet tot de verstrekte gegevens. Juist die informatie geeft rechtstreeks toegang tot een rekening. De gelekte gegevens maken gerichte phishing wel veel geloofwaardiger. Een crimineel die echte transacties, bestaande rekeningnummers en het juiste adres noemt, wekt immers meer vertrouwen dan de afzender van een algemene fraudemail (NCSC data-breach guidance).

Revolut spreekt van een "beperkt aantal" getroffen klanten, maar noemt geen totaal, landenverdeling of periode. Belgische media meldden op basis van anonieme bronnen dat er ook Belgische slachtoffers zijn. Een bevestiging uit een primaire bron ontbreekt vooralsnog (The Brussels Times).

De tekortschietende verificatie vormt de kern van dit incident. Domeinauthenticatie vertelt een bank via de infrastructuur van welke organisatie een bericht is verstuurd. Of de gebruiker van die infrastructuur bevoegd was om klantdossiers op te eisen, blijkt daar niet uit. Banken die zo'n technische domeincontrole als voldoende bewijs voor een gegevensverzoek beschouwen, blijven kwetsbaar voor precies deze vorm van misleiding. Revoluts ervaring legt bloot waar de controle ontbrak: bij de identiteit van de verzoeker en de wettelijke grondslag, niet bij de technische herkomst van het bericht.