Revolut zaufał rządowej domenie

Wiadomość pochodziła z prawdziwej domeny instytucji państwowej. Przeszła standardowe testy potwierdzające, że nadano ją z infrastruktury organizacji wskazanej jako nadawca, a jej treścią było żądanie udostępnienia danych klientów. Revolut przekazał więc dokumenty tożsamości, zdjęcia twarzy, wyciągi bankowe oraz historię transakcji. Dopiero później okazało się, że za wnioskiem stali oszuści (TechCrunch).

Fintech potwierdził incydent w sobotę, gdy poszkodowani klienci zaczęli publikować otrzymane powiadomienia. Jedną z ofiar okazał się Mark Karpelès, były prezes giełdy kryptowalut Mt. Gox, który udostępnił swój e-mail publicznie (The Block). Według Revoluta nie doszło do nieautoryzowanego dostępu do platformy bankowej ani kradzieży pieniędzy. Dane zostały wydane w odpowiedzi na fałszywe wnioski przesłane z nieuprawnionego konta, utworzonego w autentycznym systemie pocztowym niewskazanej instytucji państwowej (Security Affairs).

Stempel był prawdziwy, ale nadawca nie miał uprawnień

Każdą przychodzącą wiadomość dostawca poczty poddaje automatycznym testom uwierzytelniającym. Sprawdzają one, czy serwer nadawcy został zatwierdzony przez właściciela domeny i czy treści nie zmieniono po drodze. To odpowiednik potwierdzenia, że list rzeczywiście nadano na państwowej poczcie i opatrzono autentycznym stemplem.

Taki stempel nie dowodzi jednak, że autor listu miał prawo wystąpić z określonym żądaniem. Z powiadomienia Revoluta wynika, że poprawne uwierzytelnienie domeny odegrało istotną rolę w uznaniu wniosku za wiarygodny. Firma nie ujawniła, czy przed wydaniem dokumentów niezależnie potwierdziła tożsamość wnioskodawcy oraz podstawę prawną jego żądania (Security Affairs, CyberInsider).

Najpierw Revolut przekazał informacje, a dopiero potem skontaktował się z instytucją państwową innym kanałem i ustalił, że wnioski były nieuprawnione. Następnie zablokował nadawcę, zawiadomił właściwe organy i poinformował klientów (TechCrunch, Reuters/WHBL).

Nie wiadomo, w jaki sposób powstała skrzynka użyta do oszustwa. Ktoś mógł przejąć istniejące konto, utworzyć nowe dzięki luce w procedurach administracyjnych albo skorzystać z pomocy osoby mającej dostęp do systemu. Revolut nie wskazał instytucji, państwa, domeny ani sprawcy ataku (TechCrunch).

Jakie dane opuściły Revolut

Zakres przekazanych informacji był szeroki. Obejmował kopie paszportów i praw jazdy, zdjęcia twarzy wykonane podczas zakładania konta, imiona i nazwiska, daty urodzenia oraz zawody klientów. Udostępniono też adresy zamieszkania, adresy e-mail i numery telefonów, a wśród danych finansowych znalazły się wyciągi z numerami IBAN, informacje o wypłatach i pełna historia operacji, w tym transakcji w Bitcoinie (TechCrunch, The Block).

W powiadomieniu Revolut zaznaczył, że wydano zdjęcie wykonane podczas rejestracji, ale nie matematyczny wzorzec twarzy tworzony przez system rozpoznawania biometrycznego. Sama fotografia pozostaje jednak daną wrażliwą. W połączeniu ze skanem paszportu może ułatwić próbę kradzieży tożsamości, choć wiele systemów weryfikacyjnych wymaga również potwierdzenia, że przed kamerą znajduje się żywa osoba, oraz przejścia dodatkowych kontroli.

Wśród ujawnionych informacji nie było haseł, kodów jednorazowych, numerów kart, tokenów uwierzytelniających ani kluczy prywatnych do kryptowalut, czyli danych pozwalających bezpośrednio zalogować się na konto. Wyciek zwiększa natomiast skuteczność precyzyjnie przygotowanego phishingu. Wiadomość zawierająca prawdziwe numery rachunków, adres klienta i szczegóły jego transakcji może wzbudzić znacznie większe zaufanie niż masowo rozsyłane oszustwo (NCSC data-breach guidance).

Revolut poinformował o „ograniczonej liczbie” poszkodowanych, nie podał jednak ich łącznej liczby, podziału według państw ani okresu, którego dotyczył incydent. Belgijskie media, powołując się na anonimowe źródła, donosiły o ofiarach w Belgii, lecz brak potwierdzenia tej informacji w źródle pierwotnym (The Brussels Times).

Sednem incydentu pozostaje błędnie ustawiona procedura weryfikacji. Uwierzytelnienie domeny pocztowej pozwala bankowi ustalić, z infrastruktury której organizacji wysłano wiadomość. Nie potwierdza, że osoba korzystająca z tej infrastruktury była uprawniona do żądania dokumentacji klientów. Jeżeli bank uznaje kontrolę domeny za wystarczający dowód legalności wniosku, przejęcie lub nieuprawnione utworzenie jednej skrzynki może otworzyć drogę do poufnych danych. Przypadek Revoluta pokazał, że osobno trzeba zweryfikować nadawcę, jego umocowanie oraz podstawę prawną żądania.