Revolut dał się nabrać. Przekazał wrażliwe dane części swoich klientów cyberprzestępcom podszywającym się pod rządową instytucję. Można tego było uniknąć i to w dwójnasób.
Revolut padł ofiarą cyberoszustów
W ubiegłym tygodniu Revolut otrzymał wiadomość, której nadawcą rzekomo była instytucja państwowa. Fałszywy e-mail rzeczywiście został wysłany z autentycznego adresu, co może oznaczać, że wcześniej cyberprzestępcy zdołali go zhackować. Nie ujawniono przy tym, o rząd którego państwa chodzi.
W treści pojawiła się prośba o przekazanie szczegółowych danych osobowych i finansowych wybranych klientów, w tym ich:
- pełne imię i nazwisko,
- datę urodzenia,
- zawód,
- numer telefonu,
- adres e-mail,
- adres zamieszkania,
- skan dokumentu tożsamości,
- selfie użyte do weryfikacji konta,
- numer IBAN,
- a także historię transakcji.
Revolut uznał, że skoro nadawca się zgadza, to spokojnie może przekazać te dane. Tak też zrobił. Dopiero później skontaktował się z agencją, co pozwoliło odkryć, że żądanie było fałszywe. Zawiodła więc weryfikacja – przedstawiciele fintechu dostarczyli komplet informacji, dając wiarę mailowym zapewnieniom.
Oszuści wykorzystali zaś procedurę, która w Revolucie istnieje od dawna – istnieje specjalny adres, na który oficjalne podmioty mogą wysyłać podobne żądania.
Revolut zapewnia, że środki klientów są bezpieczne
W reakcji na to Revolut błyskawicznie przesłał wiadomość poszkodowanym klientom – informując ich, że dane trafiły w niepowołane ręce, ale ich środki pozostają całkowicie bezpieczne. Powiadomione zostały również odpowiednie organy (ścigania, ochrony danych i nadzoru finansowego).
Nie ujawniono natomiast jak duża była skala tego wycieku. Najprawdopodobniej incydent dotyczył jednak mocno ograniczonej liczby niektórych spośród najzamożniejszych klientów Revoluta. Jeśli na Twoją skrzynkę nie trafiła stosowna wiadomość, to najpewniej ominęły Cię problemy. Przynajmniej tym razem.
Można było tego uniknąć
Eksperci zajmujący się cyberbezpieczeństwem od dawna zwracają uwagę na to, że przedsiębiorstwa powinny możliwie szybko przejść na systemy ZK (Zero Knowledge), które umożliwiają weryfikację tożsamości bez konieczności zbierania i przechowywania obszernych baz wrażliwych danych osobowych.
Gdyby Revolut wdrożył ZK, nie miałby tych wszystkich informacji, które następnie przekazał w – jak się okazało – niepowołane ręce. Tymczasem odróżnienie autentycznego od fałszywego e-maila będzie się robić tylko trudniejsze – ze względu na rosnące wykorzystanie sztucznej inteligencji, która potrafi zadbać o wysoką wiarygodność.
Zawiodły więc i systemowe fundamenty, i późniejsza polityka weryfikacji żądania przed udostępnieniem danych.
