Hakerzy stojący za niedawnym naruszeniem danych w globalnej platformie fintechowej Revolut zagrozili sprzedażą skradzionych informacji innym grupom przestępczym, jeśli nie otrzymają w ciągu 24 godzin żądanych 200 bitcoinów. Firma oświadczyła, że incydent wynikał z oszukańczego procederu podszywania się, a nie z bezpośredniego przełamania zabezpieczeń jej systemów, i że nie zamierza płacić okupu.

Hakerzy żądają 6 000 XMR

Grupa stojąca za atakiem, nazywająca siebie „iamnotavillain”, opublikowała swoje żądania w internecie wraz z zegarem odliczającym czas, według Financial Times. Zażądała 6 000 XMR — kwoty wycenianej w momencie publikacji doniesienia na około 3 miliony dolarów. Terminy wyznaczane odliczaniem to standardowa taktyka wywierania presji w próbach szantażu, mająca na celu skrócenie czasu na podjęcie decyzji przez cel ataku.

Wybór Monero jest godny uwagi w sprawie szantażu na rynku kryptowalut. W przeciwieństwie do sieci Bitcoin, gdzie transakcje można otwarcie przeglądać on-chain, Monero zosta zaprojektowane tak, aby zapewniać większą prywatność podczas transakcji, co znacznie utrudnia śledzenie płatności. Właśnie z tego nacisku na prywatność wynika fakt, że prywatne kryptowaluty są powtarzającym się wyborem przy płatnościach szantażowych.

Według Financial Times hakerzy oświadczyli, że do momentu publikacji żądań nie było żadnego kontaktu z Revolut. Grupa opublikowała także krótki klip wideo, który miał być zrzutem ekranu danych klientów rzekomo zebranych podczas incydentu.

Dotknięte około 680 kont klientów

Jak donoszono, podczas naruszenia skradziono dane rzekomo powiązane z około 680 kontami klientów. Revolut oświadczyło, że incydent nie obejmował bezpośredniego włamania do jego kluczowych systemów, baz danych ani kont klientów. Zamiast tego atakujący mieli rzekomo przesłać fałszywe żądania za pomocą aplikacji poczty elektronicznej połączonej z prawdziwym podmiotem rządowym. Żądania przedstawiono jako oficjalne wnioski biznesowe, a Revolut przekazał dokumenty, zanim ustalono, że są fałszywe. Podszywanie się pod oficjalny kanał w celu nakłonienia organizacji do przekazania danych to znany wektor inżynierii społecznej, który nie wymaga przełamania infrastruktury firmy.

Ujawniony materiał miał obejmować paszporty, prawa jazdy, obrazy weryfikacji tożsamości oraz historie transakcji. Dodatkowe informacje w części dokumentów były powiązane z transakcjami kryptowalutowymi klientów. W przeciwieństwie do skompromitowanego hasła dokumentów tożsamości nie można zresetować — dlatego wyciekły materiał weryfikacyjny może zachowywać wartość dla przestępców znacznie dłużej niż sam incydent.

Revolut oświadczyło, że zablokowało adres w sprawie i poinformowało właściwy organ rządowy, organy ścigania oraz regulatora.

Posiadanie kryptowalut pomogło atakującym wybrać cele

Rzekome wykorzystanie analizy blockchaina wnosi do tego naruszenia danych wyraźny element kryptowalutowy. Hakerzy mieli podobno badać transakcje na blockchainie, aby ustalić, którzy użytkownicy Revolut są podejrzewani o posiadanie dużych ilości kryptowalut.

Chocia publiczny blockchain może pokazywać aktywność portfeli i przepływy transakcji, zwykle potrzebnych jest znacznie więcej informacji od giełdy lub usługi finansowej, aby powiązać adres blockchainowy z konkretną osobą. W tym przypadku połączenie danych transakcyjnych z blockchaina i skradzionych dokumentacji klientów mogło dać atakującemu jasny obraz tożsamości użytkownika i jego aktywów kryptowalutowych. Szczegóły dotyczące wyboru celów nie zostały niezależnie zweryfikowane. Incydent ten pokazuje, dlaczego giełdy i platformy fintech traktują parowanie dokumentacji tożsamości z aktywnością on-chain jako jedne z najbardziej wrażliwych posiadanych danych.

Revolut zaprzecza bezpośredniemu kontaktowi w sprawie okupu

Istnieje rozbieżność między tym, co ogłosili atakujący, a tym, co doniosło Revolut. Firma oświadczyła, że nie otrzymała bezpośredniego kontaktu od grupy przyznającej się do ataku i nie zamierza płacić żadnego okupu. Revolut dodało, że dotknięci klienci otrzymują wsparcie, i opisało incydent jako wynik zewnętrznego procederu podszywania się.

Uwaga zwraca się teraz na to, czy grupa zrealizuje swoją zapowiedzianą groźbę po upływie terminu oraz co wyjdzie z powiadomień skierowanych do organów ścigania i regulatorów, o których mówi Revolut.

Wyciek podkreśla konkretne obawy dotyczące użytkowników przestrzeni kryptowalut: dane tożsamości osobistej, w połączeniu z finansowymi szczegółami związanymi z blockchainem, mogą być szczególnie przydatne dla przestępców. Informacje te mogą być wykorzystane do ukierunkowanego phishingu, podszywania się lub dalszych prób uzyskania dostępu do aktywów cyfrowych.