Za razkritje ene najbolj občutljivih vrst podatkov tokrat ni bil potreben klasičen vdor v bančni sistem.
Dovolj je bilo, da je zahteva za podatke prišla z naslova, ki je bil videti zaupanja vreden. Revolut je potrdil varnostni incident, pri katerem je nepooblaščena oseba uporabila legitimno domeno državne agencije in podjetju poslala lažne zahteve za podatke o uporabnikih. Revolut jih je obravnaval kot pristne in določene podatke dejansko posredoval.
Ni šlo za vdor v Revolutove strežnike
To je pomembna razlika. Po navedbah Revoluta napadalci niso vdrli v njegove informacijske sisteme in niso pridobili neposrednega dostopa do računov. Podjetje incident opisuje kot sofisticirano zlorabo identitete oziroma lažno predstavljanje. Sporočila so namreč prihajala z uradne domene neke državne agencije, zato so prestala običajno tehnično preverjanje domene. Revolut za zdaj ni razkril, za katero agencijo je šlo niti kako je nepooblaščena oseba prišla do njenega elektronskega naslova. Zato še ni mogoče z gotovostjo trditi, ali je bil obstoječi račun kompromitiran ali je šlo za drugačno zlorabo sistema.
Med podatki so lahko tudi kopije potnih listov in selfiji
Prizadeti uporabniki niso nujno izgubili enakih podatkov. Obseg je bil odvisen od posameznega primera. V obvestilih prizadetim je Revolut navedel, da so bili med morebitno razkritimi podatki ime in priimek, datum rojstva, naslov, telefonska številka, elektronski naslov, poklic ter kopije osebnih dokumentov, med drugim potnih listov in vozniških dovoljenj. Razkriti so bili lahko tudi selfiji, uporabljeni pri preverjanju identitete, izpiski računov, številke IBAN, podatki o dvigih in zgodovina transakcij. Pri nekaterih uporabnikih so bili med podatki tudi zapisi o transakcijah z bitcoinom.
Fotografija obraza je ušla, biometrični model pa po navedbah podjetja ne
Pri selfijih je pomembna podrobnost. Revolut pravi, da biometrični podatki oziroma digitalni obrazni modeli niso bili razkriti, prav tako naj incident ne bi razkril prijavnih podatkov in gesel. Toda pri nekaterih prizadetih je bila posredovana sama fotografija, ki so jo posneli ob preverjanju identitete. To sta dve različni stvari: originalna fotografija obraza je občutljiv osebni dokument, čeprav napadalec z njo še nima nujno tudi biometrične predloge, ki jo uporablja sistem za prepoznavanje obraza.
Največja nevarnost se lahko pokaže šele pozneje
Revolut zagotavlja, da so njegovi sistemi in sredstva strank ostali varni. Podjetje govori o omejenem številu prizadetih uporabnikov, natančnega števila pa ni razkrilo. Vendar kombinacija osebnega dokumenta, naslova, telefonske številke, bančnih podatkov in resnične zgodovine transakcij odpira drugo težavo – izjemno prepričljive poskuse goljufij.
Če napadalec ve, kje živite, pozna vaš IBAN in lahko omeni resnično transakcijo z vašega računa, je lahko njegov klic videti precej bolj verodostojen kot običajen lažni klic iz banke. Zato podatek, ki ga klicatelj pozna o vas, ni več dokaz, da res govori v imenu Revoluta ali druge finančne ustanove.
Če vas nekdo pokliče »iz Revoluta«, ne potrjujte ničesar
Prizadeti uporabniki morajo biti predvsem pozorni na nenavadne telefonske klice, elektronsko pošto in sporočila, v katerih nekdo zahteva geslo, kodo za prijavo, enkratno potrditveno kodo ali prenos denarja. Varnostni strokovnjaki priporočajo, da takšno komunikacijo prekinete in banko kontaktirate sami prek uradne aplikacije oziroma preverjenega kanala. Smiselno je tudi spremljati račun zaradi neobičajnih aktivnosti in uporabljati dodatno zaščito računa.
Revolut je po odkritju incidenta sporni elektronski naslov blokiral, obvestil prizadete uporabnike ter o dogodku obvestil državno agencijo, organe pregona in pristojne regulatorje.
