Τα δεδομένα Revolut περίπου 680 πελατών φέρεται να βρέθηκαν στο στόχαστρο μετά την αποκάλυψη ότι απατεώνες χρησιμοποίησαν πραγματική κυβερνητική διεύθυνση email για να υποβάλουν πλαστά αιτήματα. Η υπόθεση δεν αφορά παραβίαση των βασικών συστημάτων της χρηματοοικονομικής εταιρείας τεχνολογίας, αλλά κατάχρηση μιας διαδικασίας που θεωρούνταν αξιόπιστη.
Η νέα εξέλιξη, που μεταδίδει το SecurityWeek, συνδέεται με δημόσια απαίτηση λύτρων ύψους 3 εκατ. δολαρίων από άτομο ή ομάδα που χρησιμοποιεί το ψευδώνυμο «IAmNotAVillain». Η Revolut, ωστόσο, δήλωσε ότι δεν έχει λάβει απευθείας επικοινωνία ή απαίτηση από τους συγκεκριμένους δράστες.
Δείτε επίσης: Revolut: Πλαστά κυβερνητικά αιτήματα οδήγησαν σε διαρροή δεδομένων πελατών
Πώς εκτέθηκαν τα δεδομένα Revolut
Η Revolut είχε επιβεβαιώσει από τις 12 Σεπτεμβρίου ότι ένας μη εξουσιοδοτημένος τρίτος υπέβαλε αιτήματα από διεύθυνση ηλεκτρονικού ταχυδρομείου που ανήκε σε νόμιμη κυβερνητική υπηρεσία. Τα μηνύματα πέρασαν τους ελέγχους αυθεντικότητας της διεύθυνσης και αντιμετωπίστηκαν ως επίσημη αλληλογραφία.
Σύμφωνα με τη TechCrunch, η εταιρεία μπλόκαρε τη διεύθυνση μόλις εντόπισε την απάτη, ενημέρωσε την αρμόδια αρχή, τις διωκτικές αρχές και τους ρυθμιστές. Η ίδια τόνισε ότι τα συστήματα της Revolut και τα κεφάλαια των πελατών δεν επηρεάστηκαν.
Στις ειδοποιήσεις προς τους επηρεαζόμενους πελάτες αναφέρονται ονόματα, ημερομηνίες γέννησης, διευθύνσεις, email, τηλέφωνα και αντίγραφα διαβατηρίων ή αδειών οδήγησης. Ενδέχεται επίσης να περιλαμβάνονται selfies επαλήθευσης, αντίγραφα κίνησης λογαριασμών και ιστορικό συναλλαγών, χωρίς να σημαίνει ότι κάθε κατηγορία επιβεβαιώθηκε για όλους.
Η αρχική ενημέρωση της εταιρείας έκανε λόγο για περιορισμένο αριθμό πελατών και για άμεση επικοινωνία μαζί τους. Η μεταγενέστερη εικόνα είναι πιο ανησυχητική, επειδή οι αναφορές μιλούν για επαναλαμβανόμενα αιτήματα σε διάστημα μηνών και για πελάτες με έντονη δραστηριότητα σε κρυπτονομίσματα. Αυτό αυξάνει τον κίνδυνο στοχευμένης εξαπάτησης, ακόμη και αν δεν υπήρξε πρόσβαση σε κωδικούς ή κεφάλαια.
Η επίθεση αξιοποίησε την εμπιστοσύνη στη διαδικασία, όχι ένα κενό λογισμικού. Όταν ένα μήνυμα προέρχεται από πραγματική κυβερνητική διεύθυνση, οι τεχνικοί έλεγχοι μπορούν να δείξουν ότι η αποστολή είναι αυθεντική, αλλά δεν απαντούν στο ερώτημα αν ο αποστολέας είχε δικαίωμα να ζητήσει τα συγκεκριμένα στοιχεία.
Το SecurityWeek αναφέρει ότι περίπου 680 πελάτες, αρκετοί από τους οποίους φέρεται να είχαν σημαντική δραστηριότητα σε κρυπτονομίσματα, επηρεάστηκαν. Ο αριθμός αποτελεί δημοσιογραφική εκτίμηση και όχι επίσημη καταμέτρηση της Revolut, η οποία μίλησε μόνο για «περιορισμένο αριθμό» και δεν κατονόμασε την κυβερνητική υπηρεσία.
Για τους συγκεκριμένους ανθρώπους, η διαρροή δεν περιορίζεται σε μια διεύθυνση email. Έγγραφα ταυτοποίησης, στοιχεία επικοινωνίας και οικονομικό ιστορικό μπορούν να χρησιμοποιηθούν για πειστικές τηλεφωνικές απάτες, πλαστά αιτήματα ανάκτησης λογαριασμού ή εκβιασμό. Η απουσία κλοπής χρημάτων σήμερα δεν εξαλείφει τον κίνδυνο μεταγενέστερης κατάχρησης.
Δείτε επίσης: Trezor: Επίθεση ηλεκτρονικού ψαρέματος στόχευσε 347.000 emails
Η απαίτηση λύτρων και οι ανεπιβεβαίωτοι ισχυρισμοί
Το άτομο που εμφανίζεται ως «IAmNotAVillain» υποστηρίζει ότι η εκστρατεία διήρκεσε περίπου πέντε έως έξι μήνες και απειλεί να πουλήσει τα αρχεία. Το SecurityWeek σημειώνει επίσης ισχυρισμό για κλοπή περισσότερων από 147 GB από ιταλική υπηρεσία επιβολής του νόμου. Οι συγκεκριμένες δηλώσεις δεν έχουν επιβεβαιωθεί από τη Revolut ή τις ιταλικές αρχές.
Η Irish Times περιγράφει τους ισχυρισμούς των δραστών σχετικά με ιταλικό σύστημα πιστοποιημένης ηλεκτρονικής αλληλογραφίας, όμως δεν παρουσιάζει ανεξάρτητη επιβεβαίωση. Η διάκριση είναι κρίσιμη: επιβεβαιωμένη είναι η αποκάλυψη στοιχείων μετά από πλαστό αίτημα, όχι κάθε μεταγενέστερη απειλή ή διεκδίκηση.
Τι δείχνει η υπόθεση για την ασφάλεια
Η υπόθεση δείχνει ότι οι έλεγχοι SPF, DKIM και DMARC δεν αρκούν για να αποδείξουν πως ένα αίτημα είναι ουσιαστικά νόμιμο. Μια πραγματική κυβερνητική διεύθυνση μπορεί να χρησιμοποιηθεί από παραβιασμένο λογαριασμό ή από μη εξουσιοδοτημένο χρήστη, ενώ η διαδικασία απόκρισης πρέπει να περιλαμβάνει ανεξάρτητη επαλήθευση μέσω δεύτερου καναλιού. Έτσι, τα δεδομένα Revolut έγιναν διαθέσιμα χωρίς να χρειαστεί εισβολή στη βάση.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η τεχνική ομάδα του SecNews προτείνει στις επιχειρήσεις να απαιτούν διπλό έλεγχο για αιτήματα που αφορούν προσωπικά ή οικονομικά στοιχεία, να καταγράφουν κάθε εξαίρεση και να εκπαιδεύουν τους υπαλλήλους στην κοινωνική μηχανική. Οι πελάτες που έλαβαν ειδοποίηση καλό είναι να προσέχουν στοχευμένες απόπειρες εξαπάτησης και να αποφεύγουν νέες αιτήσεις που ζητούν κωδικούς ή έγγραφα.
Δείτε επίσης: Ιαπωνική Ψηφιακή Υπηρεσία: Διαρροή δεδομένων μετά από επίθεση VPN
Τα δεδομένα Revolut παραμένουν στο επίκεντρο μιας έρευνας που συνδυάζει κατάχρηση εμπιστοσύνης, πλαστά αιτήματα και δημόσιες απειλές. Μέχρι να υπάρξουν επίσημα πορίσματα, οι αναφορές για τους 680 πελάτες και τα λύτρα πρέπει να παρουσιάζονται με σαφή αναφορά στην προέλευσή τους και χωρίς να μετατρέπονται σε τεκμηριωμένα γεγονότα.
