Myndighetsmejl lurade Revolut att lämna ut data

Mejlet skickades från en äkta myndighetsdomän och klarade de vanliga kontrollerna för att verifiera avsändaren. Det innehöll också en begäran om kunduppgifter. Revolut lämnade därför ut identitetshandlingar, selfiebilder, kontoutdrag och transaktionshistorik. Men avsändaren visade sig vara en bedragare (TechCrunch).

Fintechbolaget bekräftade händelsen i lördags sedan berörda kunder börjat publicera de mejl där de underrättades om läckan. Mark Karpelès, tidigare vd för kryptobörsen Mt. Gox, lade ut sitt meddelande offentligt och bekräftade därmed att han var en av de drabbade (The Block). Enligt Revolut fick ingen obehörig tillgång till bankplattformen och inga pengar stals. Uppgifterna lämnades i stället ut sedan bolaget vilseletts av förfrågningar från ett obehörigt konto som skapats inom en icke namngiven myndighets riktiga mejlsystem (Security Affairs).

Poststämpeln var äkta. Avsändaren saknade behörighet.

När ett mejl tas emot genomför leverantören automatiskt flera tekniska kontroller. De visar om servern hade domänägarens tillstånd att skicka meddelandet och om innehållet ändrades under överföringen. Det motsvarar ungefär att kontrollera att ett brev har en äkta poststämpel från ett verkligt myndighetskontor.

En äkta poststämpel visar däremot inte att brevskrivaren hade rätt att begära uppgifterna. Revoluts kundmeddelande tyder på att den giltiga domänautentiseringen var ett viktigt skäl till att begäran bedömdes som legitim. Bolaget har inte uppgett om det kontrollerade avsändarens identitet eller rättsliga befogenheter på något annat sätt innan handlingarna lämnades ut (Security Affairs, CyberInsider).

Först lämnade Revolut ut uppgifterna. Därefter kontaktade bolaget myndigheten genom en separat kanal och fick veta att förfrågningarna saknade tillstånd. Avsändaren blockerades, myndigheter underrättades och de berörda kunderna informerades (TechCrunch, Reuters/WHBL).

Det är fortfarande oklart hur den obehöriga mejladressen kunde skapas. Ett befintligt konto kan ha kapats, ett nytt konto kan ha öppnats genom en administrativ säkerhetsbrist eller så kan någon på insidan ha medverkat. Revolut har varken identifierat myndigheten, landet, domänen eller angriparen (TechCrunch).

Uppgifterna som lämnades ut

Kundmeddelandet räknade upp en omfattande samling uppgifter. Bland identitetshandlingarna fanns kopior av pass och körkort samt den selfie som togs när kunden registrerades. Även fullständigt namn, födelsedatum och yrke ingick. Kontaktuppgifterna omfattade postadress, mejladress och telefonnummer. Därutöver lämnades kontoutdrag med IBAN-nummer, uttagsuppgifter och fullständig transaktionshistorik ut, inklusive bitcointransaktioner (TechCrunch, The Block).

Revolut gjorde en teknisk åtskillnad i sitt meddelande: selfiebilden lämnades ut, men inte den matematiska mall som ett ansiktsigenkänningssystem skapar utifrån bilden. Även ett vanligt ansiktsfoto är dock känsligt. Tillsammans med en passkopia kan det användas vid försök till identitetsbedrägeri, även om många kontrollsystem dessutom kräver att personen visar att bilden tas i realtid och klarar andra verifieringar.

Lösenord, engångskoder, kortnummer, autentiseringstoken och privata kryptonycklar fanns inte bland de utlämnade uppgifterna. Sådana uppgifter används för att logga in eller kontrollera tillgångar direkt. Det läckta materialet kan i stället göra riktade nätbedrägerier betydligt mer trovärdiga. En bedragare som hänvisar till verkliga transaktioner, rätt kontonummer och kundens faktiska adress är svårare att avfärda än avsändaren bakom ett allmänt formulerat bluffmejl (NCSC data-breach guidance).

Revolut uppgav att ett "begränsat antal" kunder berördes, men angav varken totalsiffra, tidsperiod eller fördelning mellan länder. Belgiska medier har med hänvisning till anonyma källor rapporterat att belgiska kunder finns bland offren. Uppgiften har inte bekräftats av någon primärkälla (The Brussels Times).

Brister i verifieringen är kärnan i händelsen. Domänautentisering kan visa banken vilken organisations tekniska infrastruktur som skickade ett mejl. Den visar inte om personen bakom meddelandet hade rätt att kräva ut kundhandlingar. Banker som nöjer sig med en sådan domänkontroll riskerar därför samma typ av bedrägeri. Revolutfallet visar att både avsändarens behörighet och den rättsliga grunden för begäran måste kontrolleras separat.