Revolut ujawnił poufne informacje o klientach po potraktowaniu prośby phishingowej jako prawidłowej wiadomości od organu rządowego, według CryptoNinjas.

Ujawnione informacje obejmowały między innymi kopie paszportów i praw jazdy, selfie weryfikacyjne, pełną historię transakcji Bitcoin oraz adresy zamieszkania. Analityk blockchain ZachXBT stwierdził, że skala incydentu wydawała się ograniczona, ale atak mógł być wymierzony w zamożnych użytkowników kryptowalut.

Incydent otrzymał ocenę użytkowników na poziomie 8.7. Pokazuje on ryzyko polegania na kontrolach bezpieczeństwa opartych na zaufaniu, gdy prośba sprawia wrażenie wysłanej z oficjalnego rządowego adresu e-mail.

Revolut uznał fałszywą prośbę za oficjalną

W zawiadomieniu dla klientów poinformowano, że Revolut otrzymał prośbę od prawidłowego organu rządowego, która miała rzekomo zawierać informacje o klientach. Prośba została wysłana z nieautoryzowanego adresu e-mail w oficjalnej domenie agencji, ale zawierała prawidłowe dane uwierzytelniające domeny. Revolut uznał więc wiadomość za autentyczną prośbę rządową i ujawnił informacje o klientach, zanim wykrył, że była ona oszustwem.

Ujawnione dane należały do kilku kategorii, w tym danych osobowych, kontaktowych, identyfikacyjnych i finansowych. Według zawiadomienia obejmowały one pełne imiona i nazwiska klientów, adresy pocztowe, adresy e-mail, daty urodzenia, wykonywane zawody oraz numery telefonów.

Historie transakcji Bitcoin wśród ujawnionych danych

Informacje finansowe mają szczególne znaczenie dla użytkowników kryptowalut. Revolut poinformował, że ujawnione dokumenty zawierały wyciągi z rachunków, numery IBAN, informacje o statusie rachunków, numery referencyjne portfeli, historię wypłat oraz pełne rejestry transakcji, w tym transakcje Bitcoin.

Dane obejmowały również dokumenty tożsamości oraz informacje przeznaczone do uzupełnienia fotografii i kopii paszportów lub praw jazdy. Revolut wyraźnie stwierdził, że nie obejmowały one biometrycznych danych telemetrycznych twarzy.

Ujawnienie tych informacji mogło stworzyć powiązanie między rzeczywistą tożsamością a aktywnością związaną z kryptowalutami. Dokumenty tożsamości, adresy i numery telefonów są na ogół przechowywane poza łańcuchem, podczas gdy transakcje Bitcoin są publicznie rejestrowane w łańcuchu. Oznacza to, że incydent dotyczył informacji przechowywanych przez platformę finansową, a nie zmiany w rejestrach transakcji Bitcoin ani w bezpieczeństwie sieci.

ZachXBT wskazuje na możliwość wymierzenia ataku w zamożnych użytkowników

ZachXBT zwrócił szerszą uwagę na incydent w alercie społeczności opublikowanym w serwisie Telegram. Powiedział, że liczba poszkodowanych użytkowników była prawdopodobnie ograniczona, sugerując jednocześnie, że incydent mógł być wymierzony w zamożne osoby.

W przypadku użytkowników prowadzących znaczną aktywność Bitcoin na swoich rachunkach Revolut połączenie danych transakcyjnych z informacjami identyfikacyjnymi i lokalizacyjnymi mogłoby zapewnić atakującym szczegółowy profil ich historii finansowej i aktywności on-chain.

Po wykryciu oszustwa Revolut poinformował poszkodowane osoby. Firma przekazała również, że incydent nie był związany z kradzieżą środków klientów. Z dostępnych informacji wynika zatem, że reakcja dotyczyła ujawnienia danych rachunków i tożsamości, a w zawiadomieniu nie opisano utraty aktywów klientów.

Ten przypadek pokazuje rodzaj ryzyka dla bezpieczeństwa kryptowalut, który nie wymaga naruszenia blockchaina ani zdobycia klucza prywatnego przez atakującego. Dostęp do informacji przechowywanych poza łańcuchem, łączących użytkownika Bitcoin z jego aktywnością, również może stwarzać istotne zagrożenia dla posiadaczy Bitcoinów.