Revolut, păcălit de un domeniu guvernamental

Mesajul venea de pe un domeniu guvernamental real și trecuse verificările standard care confirmă că un e-mail provine într-adevăr de la organizația indicată drept expeditor. Cum solicita date despre clienți, Revolut s-a conformat și a trimis documente de identitate, selfie-uri, extrase de cont și istoricul tranzacțiilor. Ulterior, compania a descoperit că solicitarea fusese frauduloasă (TechCrunch).

Compania fintech a confirmat incidentul sâmbătă, după ce clienții afectați au început să publice notificările primite. Mark Karpelès, fostul director general al Mt. Gox, și-a făcut public mesajul, confirmând astfel că se numără printre victime (The Block). Revolut a precizat că platforma sa bancară nu a fost accesată neautorizat și că nu au fost furați bani. Datele au fost furnizate chiar de companie ca răspuns la cererile false, venite, potrivit notificării Revolut, de la un cont neautorizat creat în infrastructura autentică de e-mail a unei agenții guvernamentale care nu a fost identificată (Security Affairs).

Ștampila poștală era autentică. Expeditorul nu era autorizat.

Atunci când primiți un e-mail, furnizorul serviciului verifică automat dacă serverul de expediere a fost autorizat de proprietarul domeniului și dacă mesajul nu a fost modificat pe traseu. Este echivalentul digital al confirmării că o scrisoare poartă ștampila autentică a unui oficiu poștal guvernamental real.

O ștampilă autentică nu dovedește însă că autorul scrisorii avea dreptul să formuleze cererea. Notificarea Revolut arată că autentificarea validă a domeniului a cântărit decisiv în tratarea solicitării drept legitimă. Compania nu a comunicat dacă, înainte să furnizeze datele, a verificat separat identitatea solicitantului sau temeiul juridic al cererii (Security Affairs, CyberInsider).

Revolut a transmis mai întâi informațiile și abia ulterior a contactat agenția guvernamentală printr-un canal independent, aflând astfel că solicitările nu erau autorizate. Compania a blocat apoi expeditorul, a sesizat autoritățile și i-a notificat pe clienți (TechCrunch, Reuters/WHBL).

Nu se știe încă prin ce mecanism a apărut căsuța poștală neautorizată. Ar putea fi vorba despre compromiterea unui cont existent, despre crearea unuia nou prin exploatarea unei vulnerabilități administrative sau despre ajutorul unei persoane din interior. Revolut nu a identificat agenția, țara și domeniul implicate și nici atacatorul (TechCrunch).

Ce date au ieșit din companie

Notificarea trimisă clienților enumeră un volum amplu de informații. Datele de identificare cuprindeau copii ale pașaportului și permisului de conducere, selfie-ul realizat la deschiderea contului, numele complet, data nașterii și ocupația. Au fost furnizate și adresa poștală, adresa de e-mail și numărul de telefon, precum și extrase de cont cu IBAN-ul, retragerile și istoricul complet al tranzacțiilor, inclusiv al celor cu Bitcoin (TechCrunch, The Block).

Revolut a făcut o distincție între selfie-ul folosit la deschiderea contului, care a fost transmis, și șablonul matematic generat din imagine de sistemul de recunoaștere facială, care nu a fost divulgat. Fotografia unui chip rămâne însă o informație sensibilă. Asociată cu o copie a pașaportului, aceasta ar putea fi folosită într-o tentativă de fraudă de identitate, chiar dacă numeroase sisteme de verificare cer și teste care confirmă prezența fizică a persoanei, alături de alte controale.

Parolele, codurile de unică folosință, numerele cardurilor, tokenurile de autentificare și cheile private pentru criptomonede nu se aflau printre datele transmise. Acestea sunt informațiile care permit accesul direct la cont. Datele expuse pot însă face tentativele de phishing mult mai credibile: un infractor care invocă tranzacții reale, numere autentice de cont și adresa corectă a victimei va ridica mai puține suspiciuni decât unul care trimite un mesaj generic (ghidul NCSC privind breșele de date).

Revolut a vorbit despre un „număr limitat” de clienți afectați, fără să precizeze totalul, distribuția pe țări sau intervalul în care s-a produs incidentul. Presa belgiană a relatat, citând surse anonime, că ar exista și victime din Belgia, însă informația nu a fost confirmată de o sursă primară (The Brussels Times).

Deficiența de verificare este problema centrală a incidentului. Autentificarea domeniului îi poate spune unei bănci din infrastructura cărei organizații a fost trimis un mesaj, dar nu și dacă persoana care a folosit-o avea autoritatea să solicite dosarele clienților. O bancă ce consideră verificarea domeniului drept dovadă suficientă pentru legitimitatea unei cereri de date rămâne vulnerabilă exact acestui tip de fraudă. Experiența Revolut arată că trebuie verificate separat identitatea solicitantului și temeiul juridic al cererii, nu doar originea tehnică a mesajului.