Revolut передала данные клиентов мошенникам по фальшивому запросу

Утечка данных Revolut произошла не из-за прямого взлома инфраструктуры компании. Финтех-сервис подтвердил, что передал конфиденциальную информацию части клиентов третьей стороне после получения поддельных запросов, выглядевших как официальные обращения государственного ведомства.

Запросы поступали с адреса внутри настоящего домена госоргана и проходили стандартные проверки аутентификации электронной почты. Поэтому сотрудники Revolut приняли их за легитимные и предоставили информацию.

После обнаружения мошенничества компания заблокировала адрес, уведомила соответствующее государственное ведомство, правоохранительные органы, регуляторов и службы защиты данных.

При этом Revolut подчеркивает: системы компании и деньги клиентов не были скомпрометированы.

Как произошла утечка данных Revolut

Схема отличалась от обычного фишинга.

Мошенники не просто создали похожий домен или подделали имя отправителя.

По данным уведомлений, которые получили пострадавшие клиенты, злоумышленники использовали неавторизованный почтовый аккаунт внутри реального домена государственного органа.

Кроме того, сообщения имели действительные данные доменной аутентификации.

Это означает, что электронная почта проходила стандартные проверки происхождения письма.

В результате запрос выглядел для Revolut как настоящее официальное требование предоставить сведения о клиенте.

Компания исполнила его.

Лишь позднее, при дополнительной проверке, выяснилось, что запрос был мошенническим.

Какие данные могли попасть к злоумышленникам

Набор раскрытой информации различался в зависимости от пользователя.

Согласно уведомлениям Revolut и данным The Block, потенциально были переданы:

• имя и фамилия;
• дата рождения;
• профессия;
• домашний адрес;
• адрес электронной почты;
• номер телефона;
• копии паспорта или водительского удостоверения;
• селфи, сделанные при KYC-проверке;
• банковские выписки;
• IBAN;
• сведения о снятии средств;
• история операций;
• данные о транзакциях с Bitcoin.

Reuters отдельно подтверждает раскрытие дат рождения, почтовых и электронных адресов, телефонов и копий удостоверений личности.

Таким образом, речь идет о достаточно чувствительном наборе KYC- и финансовой информации.

История операций с Bitcoin тоже могла быть раскрыта

Для криптовалютных пользователей особенно важна другая часть инцидента.

В уведомлении одному из клиентов Revolut указывалось, что третьей стороне могла быть передана полная история транзакций, включая операции с Bitcoin.

Это существенно повышает потенциальные риски.

Если злоумышленник одновременно знает:

личность человека;

его адрес;

номер телефона;

банковские реквизиты;

историю операций;

и информацию о крупных криптовалютных переводах,

он может получить представление о размере активов пользователя.

Для владельцев значительных криптовалютных средств такая информация особенно чувствительна.

Биометрические данные лица не были раскрыты

Здесь важно различать обычное KYC-селфи и биометрический шаблон.

Revolut сообщила пострадавшим, что фотографии, сделанные во время проверки личности, могли быть переданы.

Однако биометрическая телеметрия лица не была затронута.

Другими словами, злоумышленники могли получить фотографию пользователя, но не внутренний математический биометрический шаблон, используемый системой распознавания.

Это снижает часть рисков, однако наличие паспорта и селфи само по себе остается серьезной проблемой.

Деньги клиентов Revolut не были похищены

На данный момент нет данных о том, что злоумышленники получили непосредственный доступ к аккаунтам или вывели средства.

Представитель Revolut заявил:

«Системы Revolut и средства клиентов не затронуты».

Компания также не сообщала о компрометации паролей, PIN-кодов или приватных ключей.

Следовательно, корректнее называть произошедшее несанкционированным раскрытием персональных данных, а не взломом счетов клиентов.

Однако полученная информация может использоваться для последующих атак.

Сколько пользователей пострадало

Точное количество клиентов Revolut пока не раскрыла.

Компания сообщила только, что затронуто ограниченное число пользователей.

Affected-клиентам начали отправлять уведомления напрямую.

Некоторые получили письма 11 сентября.

При этом Revolut не сообщила:

сколько именно человек затронуто;

в каких странах они находятся;

какой государственный орган был использован мошенниками;

сколько запросов было отправлено.

Поэтому точный масштаб инцидента пока неизвестен.

ZachXBT считает, что могли выбирать состоятельных клиентов

Ончейн-исследователь ZachXBT обратил внимание на инцидент и предположил, что злоумышленники могли специально выбирать пользователей с крупными активами.

По его словам, случай, вероятно, ограничен по масштабу, но выглядит так, будто атакующие могли целиться в high-net-worth users — состоятельных клиентов.

Однако важно подчеркнуть:

Revolut это не подтверждала.

Пока это гипотеза ZachXBT, основанная на известных ему случаях.

Поэтому писать, что злоумышленники точно атаковали только богатых держателей криптовалюты, нельзя.

Бывший глава Mt. Gox оказался среди получателей уведомления

Среди людей, публично сообщивших о получении письма Revolut, оказался бывший руководитель Mt. Gox Марк Карпелес.

Он опубликовал выдержки из уведомления компании.

Именно эти материалы помогли подтвердить перечень потенциально раскрытых данных, включая банковскую и Bitcoin-историю.

Это также усилило предположение о том, что злоумышленников могли интересовать люди, связанные с криптоиндустрией.

Но выборка пока слишком мала для однозначного вывода.

Почему защита электронной почты не сработала

Одна из самых интересных деталей — письмо не выглядело обычной подделкой.

По опубликованной информации, оно успешно прошло доменные проверки.

В частности, источники сообщают о корректной аутентификации почты на уровне стандартных механизмов проверки домена.

Это объясняет, почему запрос выглядел особенно убедительно.

Если злоумышленник действительно получил или создал аккаунт внутри инфраструктуры госведомства, проблема значительно сложнее обычного spoofing.

В этом случае письмо технически действительно отправляется с легитимного домена.

Поэтому одной автоматической проверки адреса отправителя недостаточно.

Где произошел основной сбой защиты

Главный вопрос теперь касается процедуры проверки официальных запросов.

Если организация получает требование от полиции, суда, налогового или другого ведомства, одного совпадения домена электронной почты недостаточно.

Необходима независимая проверка.

Например, сотрудник может связаться с ведомством через заранее известный официальный канал и подтвердить:

номер дела;

личность сотрудника;

основание запроса;

его полномочия.

Судя по описанию инцидента, Revolut выполнила запрос до того, как обнаружила, что почтовый аккаунт использовался неавторизованной стороной.

Именно поэтому история интересна не только пользователям Revolut, но и всему финансовому сектору.

После инцидента Revolut усилила меры безопасности

После выявления мошеннического запроса Revolut заблокировала соответствующий адрес во внутренних системах.

Кроме того, компания уведомила:

государственный орган;

правоохранительные структуры;

регуляторов финансового рынка;

органы по защите персональных данных.

Affected-пользователям также были применены дополнительные меры предосторожности.

Однако компания пока не раскрыла их полный перечень публично.

Почему украденные KYC-данные особенно опасны

Паспорт, домашний адрес, телефон и селфи дают мошеннику значительно больше возможностей, чем просто адрес электронной почты.

Например, данные могут использоваться для:

• целевого фишинга;
• выдачи себя за сотрудника банка;
• SIM-swap атак;
• попыток восстановить доступ к аккаунтам;
• социальной инженерии;
• создания поддельных документов;
• мошенничества с кредитами.

Если к этому добавляется история криптовалютных операций, преступник может выбрать наиболее привлекательные цели.

То есть сама по себе утечка еще не означает потерю денег.

Но она может стать основой для следующей атаки.

Владельцам криптовалют стоит опасаться адресного фишинга

Для пользователя с крупным криптопортфелем наиболее реалистичный риск — не прямой взлом кошелька, а персонализированная социальная инженерия.

Представим, что мошенник знает:

какой сервис использует человек;

примерный размер операций;

номер телефона;

домашний адрес;

ФИО;

паспортные данные.

Тогда создать убедительную легенду значительно проще.

Например, злоумышленник может представиться сотрудником Revolut и назвать реальные сведения о предыдущей операции.

Человеку покажется, что разговаривает настоящий представитель компании.

Именно в этот момент могут попытаться получить пароль, код подтверждения или seed-фразу.

Что делать клиентам Revolut

Если пользователь получил официальное уведомление об инциденте, в первую очередь стоит особенно внимательно относиться к новым сообщениям и звонкам.

Необходимо исходить из того, что часть персональной информации уже известна третьей стороне.

Особенно важно:

• не переходить по ссылкам из неожиданных писем;
• не сообщать коды подтверждения;
• не передавать seed-фразы;
• включить двухфакторную аутентификацию;
• проверить активные сессии;
• внимательно следить за банковскими и криптовалютными операциями;
• обращаться в Revolut только через официальный интерфейс приложения.

Если используются те же пароли на других сервисах, их также стоит заменить.

Нужно ли менять криптокошелек

Сам факт раскрытия истории Bitcoin-транзакций не означает компрометацию приватного ключа.

Если seed-фраза или private key не передавались Revolut, получить контроль над self-custody кошельком только по этой информации нельзя.

Однако возникает другой риск.

Если раскрытая история позволяет связать личность человека с конкретным Bitcoin-адресом, приватность пользователя снижается.

Для крупных держателей это может быть существенным фактором.

Следовательно, здесь проблема не столько в криптографической безопасности Bitcoin, сколько в деанонимизации владельца адреса.

Почему этот случай важен для всего крипторынка

Инцидент показывает один из парадоксов регулируемой криптоинфраструктуры.

KYC помогает бороться с преступностью и позволяет финансовым компаниям работать легально.

Однако одновременно финансовые организации накапливают огромные массивы чувствительной информации.

В результате у злоумышленника появляется одна привлекательная цель — база данных посредника.

Bitcoin-блокчейн может не содержать имени владельца адреса.

Но если криптовалютная платформа объединяет:

имя;

паспорт;

адрес;

телефон;

банковские счета;

Bitcoin-транзакции,

анонимность исчезает.

Это не проблема самого Bitcoin

Важно отделять технологию Bitcoin от действий финансового посредника.

В данном случае злоумышленники не взломали блокчейн.

Не была нарушена криптография Bitcoin.

Кроме того, нет сообщений о компрометации приватных ключей.

Проблема возникла на уровне централизованного сервиса, который хранит KYC-данные и историю операций пользователей.

Это классический риск кастодиальной и регулируемой финансовой инфраструктуры.

Что это значит для инвестора?

Новость особенно важна для пользователей, которые одновременно держат значительные суммы в криптовалюте и используют сервисы с полной идентификацией.

Чем больше компания знает о клиенте, тем более ценной становится ее база данных для преступников.

При этом атака на Revolut показывает, что злоумышленникам необязательно взламывать защищенные серверы.

Иногда достаточно убедительно имитировать законный процесс раскрытия информации.

Именно поэтому безопасность KYC-инфраструктуры становится отдельной проблемой крипторынка.

Вывод Expert Finance: Revolut действительно передала часть конфиденциальных данных клиентов неавторизованной стороне, однако это был не прямой взлом компании. Мошенники использовали настоящий домен государственного ведомства и отправили запрос, который Revolut приняла за легитимный. Среди потенциально раскрытых данных — документы, KYC-селфи, IBAN и история операций, включая Bitcoin. Деньги и системы Revolut, по заявлению компании, не пострадали, но полученная информация создает серьезный риск адресного фишинга и социальной инженерии.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.