Revolut dał się podejść oszustom, przez co ci nawet nie musieli włamywać się do jego systemów. Firma sama przekazała im jeden z najbardziej wrażliwych pakietów danych swoich klientów. W niepowołane ręce mogły trafić dokumenty tożsamości, adresy domowe, selfie oraz pełna historia transakcji, w tym operacji na bitcoinie. Jak do tego doszło?
- Oszuści mieli wysłać Revolutowi żądanie dotyczące klientów z nieautoryzowanego konta utworzonego w oficjalnej domenie instytucji państwowej.
- Ujawnione dane mogły obejmować dokumenty KYC, adresy, numery telefonów, selfie, wyciągi bankowe oraz historię transakcji kryptowalutowych.
- Nie doszło do włamania do systemów Revoluta ani kradzieży środków. Firma zapewnia również, że nie przekazano danych biometrycznych twarzy.
Revolut przekazał dane klientów oszustom
Ta historia nie rozpoczęła się od widowiskowego włamania, złośliwego oprogramowania ani przejęcia serwerów.
Oszuści zastosowali znacznie prostszą metodę. Po prostu przekonali Revolut, że reprezentują instytucję rządową i mają prawo żądać informacji o jego klientach.
Według ustaleń badacza znanego w sieci jako ZachXBT, oszuści wysłali do firmy wiadomość wyglądającą jak oficjalne żądanie udostępnienia danych.
Co istotne, nie pochodziła ona ze zwykłego adresu przypominającego urzędowy.
Nieautoryzowane konto zostało utworzone w prawdziwej domenie należącej do instytucji państwowej.
Nie ujawniono, o instytucję którego państwa chodziło.
Wiadomość przeszła również kontrole SPF, DKIM i DMARC, które potwierdziły, że została wysłana z infrastruktury oficjalnej domeny.
Mechanizmy te nie były jednak w stanie wykazać, że konto utworzono bez upoważnienia instytucji.
Dla pracowników Revoluta mogła więc wyglądać całkowicie wiarygodnie.
Firma uznała żądanie za prawdziwe i przekazała objęte nim informacje.
Dopiero później skontaktowała się bezpośrednio z właściwą instytucją i ustaliła, że konto nadawcy wcale nie było autoryzowane.
Adres został zablokowany, a poszkodowani klienci zaczęli otrzymywać powiadomienia o incydencie.
Dokumenty, adres i historia bitcoina
Wyjątkowo złe wrażenie robi tu zakres udostępnionych informacji.
W niepowołane ręce mogły trafić imiona i nazwiska, daty urodzenia, zawody, adresy zamieszkania, adresy e-mail oraz numery telefonów.
Lista ma obejmować także kopie paszportów lub praw jazdy, selfie wykonane podczas weryfikacji tożsamości, numery IBAN, wyciągi z konta, historię wypłat i transakcji oraz informacje o operacjach na bitcoinie.
Revolut podkreśla jednak, że nie doszło do włamania do jego wewnętrznych systemów.
Z kont klientów nie zniknęły również żadne środki, a dane biometryczne twarzy nie zostały ujawnione.
Problem w tym, że przestępcy mogą wykorzystać zdobyte informacje w zupełnie inny sposób.
Oszuści otrzymali przecież gotowy profil ofiary
Atakujący mogą teraz dzięki temu znacznie skuteczniej podszywać się pod Revolut, urząd albo pomoc techniczną.
Znajomość prawdziwych transakcji pozwala przygotować wiadomość, która nie wygląda jak przypadkowy spam, lecz jak wiarygodny kontakt dotyczący danego konta.
Dokładna liczba poszkodowanych oraz nazwa wykorzystanej instytucji nie zostały jednak ujawnione.
Osoby, które otrzymały alert od Revoluta, powinny teraz szczególnie uważać na telefony, e-maile i wiadomości dotyczące ich pieniędzy.
Nie należy klikać w przesłane linki ani odpowiadać na podejrzane wiadomości.
Najbezpieczniej samodzielnie uruchomić aplikację i skontaktować się z pomocą za pośrednictwem dostępnego w niej czatu.
Śledź CrypS. w Google News. Czytaj najważniejsze wiadomości bezpośrednio w Google! Obserwuj ->
Zajrzyj na nasz telegram i dołącz do Crypto. Society. Dołącz ->
