Revolut je zaupal vladni domeni

Elektronsko sporočilo je prišlo s pristne domene državnega organa. Prestalo je običajna preverjanja, ki potrjujejo, da sporočilo res izvira iz organizacije, navedene kot pošiljatelj, vsebovalo pa je zahtevo za podatke o strankah. Revolut je zato pošiljatelju posredoval osebne dokumente, selfije, bančne izpiske in zgodovino transakcij. Pozneje se je izkazalo, da je šlo za prevaro (TechCrunch).

Finančnotehnološko podjetje je incident potrdilo v soboto, potem ko so prizadete stranke začele objavljati prejeta obvestila. Med žrtvami je tudi nekdanji izvršni direktor borze Mt. Gox Mark Karpelès, ki je svoje obvestilo javno objavil (The Block). Revolut je sporočil, da storilec ni nepooblaščeno dostopal do njegove bančne platforme in da med incidentom ni ukradel denarja. Podjetje je podatke razkrilo v odgovor na lažne zahteve, ker je pošiljatelj uporabljal nepooblaščen račun, ustvarjen znotraj pristne elektronske infrastrukture neimenovanega državnega organa (Security Affairs).

Poštni žig je bil pristen, pošiljatelj pa ni imel pooblastila

Ponudnik elektronske pošte ob prejemu sporočila v ozadju opravi več avtentikacijskih preverjanj. Z njimi ugotavlja, ali je lastnik domene dovolil uporabo strežnika, s katerega je sporočilo prišlo, in ali se je vsebina med prenosom spremenila. Postopek je primerljiv s preverjanjem, ali ima pismo pristen poštni žig resničnega državnega poštnega urada.

Pristen žig še ne dokazuje, da je imel avtor pisma pooblastilo za zahtevo. Iz Revolutovega obvestila izhaja, da je bilo uspešno preverjanje domene eden ključnih razlogov, zaradi katerih je podjetje zahtevo obravnavalo kot verodostojno. Ni pa razkrilo, ali je pred izročitvijo podatkov ločeno preverilo identiteto prosilca in pravno podlago njegove zahteve (Security Affairs, CyberInsider).

Revolut je podatke najprej posredoval, šele nato pa neposredno stopil v stik z državnim organom in izvedel, da zahteve niso bile odobrene. Podjetje je zatem blokiralo pošiljatelja, obvestilo pristojne organe in opozorilo prizadete stranke (TechCrunch, Reuters/WHBL).

Kako je nepooblaščeni poštni predal nastal, še ni pojasnjeno. Napadalec bi lahko prevzel obstoječi račun, izkoristil pomanjkljivosti pri upravljanju sistema in ustvaril novega ali pa pridobil pomoč osebe z dostopom do infrastrukture. Revolut ni razkril niti organa in države niti domene ali identitete napadalca (TechCrunch).

Kateri podatki so zapustili Revolut

Seznam v obvestilu strankam je obsežen. Med razkritimi osebnimi podatki so bile kopije potnih listov in vozniških dovoljenj, selfiji, posneti ob odprtju računa, polna imena, datumi rojstva in poklici. Posredovali so tudi poštne in elektronske naslove ter telefonske številke, med finančnimi podatki pa bančne izpiske z oznakami IBAN, podatke o dvigih in celotno zgodovino transakcij, vključno s transakcijami z bitcoini (TechCrunch, The Block).

Revolut je v obvestilu poudaril razliko med selfijem, ki ga je posredoval, in matematično predlogo obraza, ki jo iz fotografije izdela sistem za prepoznavanje obrazov in je ni razkril. Tudi sama fotografija obraza je občutljiv podatek. Skupaj s kopijo potnega lista bi lahko storilcu pomagala pri poskusu kraje identitete, čeprav številni sistemi za preverjanje zahtevajo tudi dokaz živosti osebe in dodatna preverjanja.

Med razkritimi podatki ni bilo gesel, enkratnih kod, številk kartic, avtentikacijskih žetonov ali zasebnih ključev za kriptosredstva, ki omogočajo neposreden dostop do računov. Razkriti podatki pa lahko povečajo verodostojnost ciljno usmerjenega lažnega predstavljanja. Prevaro je težje prepoznati, kadar storilec navede resnične transakcije, pravilne številke računov in znani naslov, namesto da bi poslal splošno goljufivo sporočilo (NCSC data-breach guidance).

Revolut je navedel, da je prizadeto »omejeno število« strank, ni pa objavil skupnega števila, razčlenitve po državah ali obdobja, v katerem je podatke posredoval. Belgijski mediji so ob sklicevanju na neimenovane vire poročali tudi o žrtvah iz Belgije, vendar za to ni neposredne potrditve (The Brussels Times).

Jedro incidenta je pomanjkljivo preverjanje zahteve. Avtentikacija elektronske domene banki pove, iz infrastrukture katere organizacije je sporočilo prišlo, ne pa tudi, ali je imel njen uporabnik pooblastilo za pridobitev podatkov o strankah. Banke, ki takšno tehnično preverjanje obravnavajo kot zadosten dokaz upravičenosti zahteve, so izpostavljene prav tej vrsti prevare. Revolutov primer je pokazal vrzel med preverjanjem izvora sporočila ter preverjanjem identitete prosilca in pravne podlage za razkritje podatkov.