Hakerzy przyznający się do wycieku danych w Revolut, jednej z największych brytyjskich firm technologiczno-finansowych, zażądali okupu w wysokości 3 milionów dolarów w Monero i zagrozili sprzedażą wrażliwych informacji należących do setek klientów, według doniesień, choć cyfrowy bank oświadczył, że nie otrzymał bezpośredniego żądania okupu.

Grupa, nazywająca siebie "iamnotavillain", dała rzekomo Revolut 24 godziny na zapłatę 6 000 tokenów Monero, wartych około 3 milionów dolarów, w przeciwnym razie sprzedalaby skradzione informacje innym grupom przestępczym. Ostatecznik został opublikowany w sieci wraz z odliczaniem, zgodnie z doniesieniami Financial Times.

Żądanie odzwierciedla nastawioną na prywatność konstrukcję Monero. Każda transakcja Monero generuje losowy, jednorazowy adres, dzięki czemu osoby z zewnątrz nie mogą powiązać płatności z konkretnym portfelem publicznym użytkownika — cecha ta odróżnia tę walutę od pseudonimowych publicznych blockchainów, takich jak Bitcoin, i sprawia, że jest to powtarzający się wybór w żądaniach szantażu.

Według osoby zaznajomionej z sytuacją wyciek dotyczył około 680 klientów, podczas gdy podstawowa infrastruktura, bazy danych i konta klientów Revolut nie zostały zhakowane.

Firma oświadczyła, że wrażliwe informacje o klientach zostały ujawnione nieupoważnionej osobie trzeciej po tym, jak napastnicy przesłali oszukańcze zapytania z wykorzystaniem legalnej domeny e-mail agencji rządowej. Skradzione informacje obejmują rzekomo dokumenty tożsamości i inne wrażliwe dane co najmniej 680 klientów Revolut.

Haker twierdzą, że wybrali cele, wykorzystując analizę blockchain — badanie publicznie rejestrowanych danych transakcyjnych w celu śledzenia aktywności portfeli — aby zidentyfikować konta Revolut o znacznych zasobach krypto.

Revolut oświadczył, że nie miał bezpośredniego kontaktu z rzekomymi napastnikami i nie otrzymał żądania okupu, co dodaje kolejny poziom niepewności do twierdzeń o szantażu.

Incydent uwypukla rosnące ryzyko cyberbezpieczeństwa dla platform finansowych i kryptowalutowych, gdzie napastnicy mogą nie potrzebować włamania do podstawowych systemów bankowych, jeśli ataki oparte na inżynierii społecznej — polegające na oszukiwaniu ludzi i wykorzystywaniu legalnych procesów zamiast łamania zabezpieczeń technicznych — mogą posłużyć do uzyskania wrażliwych danych klientów z zaufanych kanałów. Dokumenty tożsamości są rutynowo wykorzystywane do weryfikacji klientów w usługach finansowych, co czyni je jednym z bardziej wrażliwych rodzajów danych osobowych, jakie może ujawnić wyciek. W Wielkiej Brytanii organizacje muszą powiadomić Urząd Komisarza Informacji w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych, które może stwarzać ryzyko dla osób.