Revolut, brytyjska firma z sektora fintech, potwierdził 12 września, że ujawnił poufne informacje o klientach po otrzymaniu fałszywych żądań dotyczących danych z adresu e-mail podszywającego się pod prawdziwą agencję rządową.

Sfałszowane wiadomości przeszły kontrole uwierzytelniania SPF, DKIM i DMARC — trzech głównych protokołów używanych przez serwery pocztowe do sprawdzania, czy wiadomość pochodziła z autoryzowanego źródła i czy jej treść nie została zmieniona. Kontrole te pomagają potwierdzić techniczne pochodzenie i integralność wiadomości e-mail, ale same w sobie nie dowodzą, że żądanie rzeczywiście pochodzi od agencji rządowej, za którą nadawca się podaje. Revolut określił incydent jako „wyrafinowane zewnętrzne oszustwo polegające na podszywaniu się”.

Ujawnione dane i grupa docelowa

Naruszone informacje obejmowały imiona i nazwiska klientów, daty urodzenia, dane kontaktowe, kopie dokumentów tożsamości, historię transakcji i wyciągi z rachunków. Revolut poinformował, że podczas incydentu nie udostępniono żadnych biometrycznych danych telemetrycznych dotyczących twarzy, nie skradziono środków klientów, a podstawowe systemy bankowe spółki nie zostały naruszone.

Spółka nie ujawniła dokładnej liczby użytkowników, których dotyczył incydent. Doniesienia wskazują, że konkretnym celem mogła być wybrana grupa osób o wyższym majątku. Analityk transakcji on-chain ZachXBT ocenił, że skala incydentu wydawała się ograniczona. Powiadomienia dla klientów zaczęły pojawiać się około 11 września, dzień przed publicznym potwierdzeniem naruszenia przez Revolut.

Jak fałszywe żądania ominęły zabezpieczenia poczty elektronicznej

SPF sprawdza, czy serwer wysyłający jest upoważniony do wysyłania wiadomości e-mail w imieniu danej domeny. DKIM weryfikuje, czy treść wiadomości nie została zmieniona podczas przesyłania. DMARC łączy te kontrole i instruuje serwery odbiorcze, jak postępować z wiadomościami, które nie przejdą uwierzytelniania.

Mimo tych zabezpieczeń fałszywe wiadomości przeszły wszystkie trzy protokoły. Revolut poinformował, że zablokował fałszywy adres e-mail, skontaktował się z organami regulacyjnymi i organami ścigania oraz zwrócił się do agencji rządowej, pod którą podszywał się nadawca. Spółka nie wskazała publicznie, o którą agencję chodziło.

Incydent pokazuje, dlaczego samo uwierzytelnianie poczty elektronicznej nie stanowi pełnego procesu weryfikacji w przypadku wrażliwych żądań dotyczących danych. Wiadomości przeszły kontrole techniczne, mimo że same żądania były fałszywe, dlatego dalsze działania spółki wraz z organami nadzoru, organami ścigania i podszywającą się agencją są częścią trwającej reakcji na incydent.

Wcześniejszy incydent bezpieczeństwa

Najnowsze naruszenie nie jest pierwszym incydentem dotyczącym bezpieczeństwa danych w Revolut. W 2022 roku spółka doświadczyła naruszenia, które dotknęło dziesiątki tysięcy klientów. Tamten incydent obejmował nieuprawniony dostęp uzyskany w wyniku socjotechniki wymierzonej w pracownika. Najnowsze zdarzenie było natomiast wymierzone w sam proces zgodności, a nie w dane uwierzytelniające poszczególnych pracowników.

Incydent ma miejsce w czasie, gdy Revolut rozwija działalność w Europie i poza nią oraz sygnalizuje ambicje związane z wejściem na giełdę. Dla klientów bezpośrednie ryzyko ma charakter informacyjny, a nie finansowy. Dokumenty tożsamości i historia transakcji mogą zostać wykorzystane do kradzieży tożsamości, ukierunkowanych kampanii phishingowych i ataków socjotechnicznych.

Źródło: CryptoBriefing