Revolut dôveroval pravému vládnemu emailu

E-mail prišiel zo skutočnej vládnej domény. Prešiel bežnými kontrolami, ktoré overujú, či správa naozaj pochádza z infraštruktúry uvádzanej organizácie. Od Revolutu žiadal údaje o klientoch, a tak ich fintechová spoločnosť poskytla: doklady totožnosti, selfie, bankové výpisy aj históriu transakcií. Až neskôr sa ukázalo, že za žiadosťou bol podvodník (TechCrunch).

Incident potvrdil Revolut v sobotu, keď dotknutí klienti začali zverejňovať e-maily, ktorými ich spoločnosť o úniku informovala. Svoje oznámenie zverejnil aj bývalý výkonný riaditeľ Mt. Gox Mark Karpelès, čím potvrdil, že patrí medzi obete (The Block). Podľa Revolutu sa nikto neoprávnene nedostal do jeho bankovej platformy a klienti neprišli o peniaze. Údaje firma odovzdala sama na základe podvodných žiadostí. Ako uviedla v oznámení, oklamalo ju neoprávnene vytvorené konto v skutočnej e-mailovej infraštruktúre nemenovanej štátnej inštitúcie (Security Affairs).

Poštová pečiatka bola pravá. Pisateľ nemal oprávnenie.

Po prijatí e-mailu vykoná poskytovateľ na pozadí niekoľko kontrol pravosti. Overí nimi, či odosielací server mal povolenie používať danú doménu a či sa obsah správy cestou nezmenil. Je to podobné, ako keď sa pri liste potvrdí pravosť poštovej pečiatky skutočného štátneho úradu.

Pravá pečiatka však nedokazuje, že pisateľ smel takúto žiadosť podať. Z oznámenia Revolutu vyplýva, že platné overenie domény bolo jedným z hlavných dôvodov, prečo firma považovala žiadosť za legitímnu. Spoločnosť nezverejnila, či si pred odovzdaním údajov nezávisle overila totožnosť žiadateľa alebo jeho právomoc získať tieto záznamy (Security Affairs, CyberInsider).

Revolut údaje najprv poskytol. Až potom sa obrátil priamo na príslušnú štátnu inštitúciu a zistil, že žiadosti neboli autorizované. Následne odosielateľa zablokoval, informoval úrady a upozornil klientov (TechCrunch, Reuters/WHBL).

Naďalej nie je jasné, ako neoprávnená e-mailová schránka vznikla. Mohlo ísť o prevzatie existujúceho konta, vytvorenie nového konta cez slabinu v administrácii systému alebo o pomoc človeka zvnútra. Revolut nezverejnil názov inštitúcie, krajinu ani doménu a neidentifikoval ani útočníka (TechCrunch).

Ktoré údaje Revolut odovzdal

Podľa oznámenia klientom išlo o rozsiahly súbor údajov. Medzi dokladmi totožnosti boli kópie pasu a vodičského preukazu, selfie zhotovená pri zakladaní účtu, celé meno, dátum narodenia a povolanie. Kontaktné údaje zahŕňali poštovú adresu, e-mail a telefónne číslo. Z finančných záznamov unikli výpisy z účtu s číslom IBAN, údaje o výberoch a úplná história transakcií vrátane platieb v Bitcoine (TechCrunch, The Block).

Revolut vo svojom oznámení rozlišoval medzi fotografiou a biometrickými údajmi: odovzdal selfie použité pri zakladaní účtu, nie však matematickú šablónu, ktorú z fotografie vytvára systém na rozpoznávanie tváre. Aj samotná fotografia tváre je však citlivým údajom. V spojení so skenom pasu môže útočníkovi pomôcť pri pokuse o krádež identity, hoci mnohé overovacie systémy vyžadujú aj kontrolu živosti a ďalšie preverenie.

Medzi odovzdanými údajmi neboli heslá, jednorazové kódy, čísla platobných kariet, autentifikačné tokeny ani súkromné kľúče ku kryptomenám. Práve tieto údaje umožňujú prihlásiť sa do účtu. Uniknuté informácie však môžu zvýšiť presvedčivosť cieleného phishingu. Podvodník, ktorý pozná skutočné transakcie, čísla účtov a adresu obete, vzbudí menej podozrenia než odosielateľ všeobecnej podvodnej správy (NCSC data-breach guidance).

Podľa Revolutu sa incident týkal „obmedzeného počtu“ klientov, firma však nezverejnila ich celkový počet, rozdelenie podľa krajín ani obdobie, počas ktorého údaje poskytovala. Belgické médiá s odvolaním na nemenované zdroje informovali aj o obetiach z Belgicka, no potvrdenie z pôvodného zdroja chýba (The Brussels Times).

Jadrom incidentu je zlyhanie pri overovaní žiadosti. Autentifikácia e-mailovej domény banke potvrdí, z infraštruktúry ktorej organizácie správa prišla. Nepotvrdí však, že človek používajúci túto infraštruktúru smie žiadať klientské záznamy. Ak banka považuje kontrolu domény za dostatočný dôkaz oprávnenosti žiadosti, zostáva zraniteľná voči presne takémuto podvodu. Prípad Revolutu ukázal medzeru medzi overením pôvodu správy a overením totožnosti žiadateľa i právneho základu jeho požiadavky.