Хакеры, взявшие на себя ответственность за утечку данных в Revolut — одной из крупнейших финансовых технологических компаний Великобритании — потребовали выкуп в размере 3 миллионов долларов в Monero и пригрозили продать конфиденциальную информацию, принадлежащую сотням клиентов, согласно сообщениям, хотя цифровой банк заявил, что не получал прямого требования о выкупе.

Группировка, называющая себя "iamnotavillain", по имеющимся данным, дала Revolut 24 часа на выплату 6 000 токенов Monero стоимостью около 3 миллионов долларов, в противном случае она продаст украденную информацию другим преступным группам. Ультиматум был опубликован в интернете вместе с обратным отсчетом времени, сообщает Financial Times.

Требование отражает ориентированный на конфиденциальность дизайн Monero. Каждая транзакция Monero генерирует случайный одноразовый адрес, поэтому посторонние не могут связать платежи с публичным кошельком конкретного пользователя — свойство, которое отличает эту валюту от псевдонимных публичных блокчейнов, таких как Bitcoin, и сделало ее регулярным выбором в требованиях о выкупе.

По данным осведомленного источника, утечка затронула около 680 клиентов, при этом основная инфраструктура Revolut, базы данных и клиентские счета не были взломаны.

Компания сообщила, что конфиденциальная информация клиентов была раскрыта неавторизованной третьей стороне после того, как злоумышленники отправили мошеннические запросы, используя легитимный домен электронной почты государственного агентства. По имеющимся данным, украденная информация включает удостоверения личности и другие конфиденциальные записи клиентов — как минимум 680 клиентов Revolut.

Хакеры заявили, что выбрали свои цели с помощью анализа блокчейна — изучения публично записанных данных транзакций для отслеживания активности кошельков — чтобы выявить счета Revolut со значительными криптоактивами.

Revolut заявила, что не имела прямого контакта с предполагаемыми злоумышленниками и не получала требования о выкупе, что добавляет еще один уровень неопределенности к утверждениям о шантаже.

Инцидент подчеркивает растущий риск кибербезопасности для финансовых и криптовалютных платформ, где злоумышленникам может не потребоваться проникать в основные банковские системы, если атаки социальной инженерии — которые основаны на обмане людей и использовании легитимных процессов, а не на преодолении технических защитных механизмов — могут быть использованы для получения конфиденциальных данных клиентов из доверенных каналов. Удения личности регулярно используются для верификации клиентов в финансовых услугах, что делает их одним из наиболее чувствительных типов персональных данных, которые могут быть раскрыты при утечке. В Великобритании организации обязаны уведомить Управление комиссара по информации в течение 72 часов после того, как им стало известно об утечке персональных данных, которая, вероятно, создает риск для физических лиц.