Утечка данных Revolut переросла в попытку шантажа клиентов

Утечка данных Revolut получила потенциально более опасное продолжение. Неизвестные, предположительно располагающие полученной ранее информацией клиентов финтех-компании, начали публиковать образцы документов и угрожают раскрывать новые сведения ежедневно, пока Revolut не заплатит.

Об этом 13 сентября сообщил проект International Cyber Digest.

По его данным, среди опубликованных материалов могут находиться KYC-селфи и копии удостоверений личности клиентов, в том числе людей с высоким публичным профилем.

При этом важно разделять два события.

Само несанкционированное раскрытие данных Revolut официально подтвердил.

А вот требования выкупа, предполагаемые публикации новых файлов и личности упомянутых клиентов пока в основном подтверждаются сторонними исследователями и публикациями в социальных сетях.

Что произошло с данными Revolut

Первоначальный инцидент стал известен 12 сентября.

Revolut сообщил, что неавторизованная сторона направляла компании запросы на раскрытие информации, используя адрес электронной почты в настоящем домене государственного учреждения.

Письма имели корректные данные доменной аутентификации.

Из-за этого сотрудники Revolut приняли запросы за подлинные и передали информацию.

То есть злоумышленникам не потребовалось непосредственно взламывать банковскую инфраструктуру Revolut.

Они атаковали процедуру доверия к официальным запросам.

Компания назвала произошедшее сложной внешней схемой impersonation — выдачи себя за другую сторону.

Какие данные могли попасть к третьей стороне

Согласно уведомлениям Revolut пострадавшим клиентам, потенциально были раскрыты:

полные имена;
даты рождения;
профессии;
домашние адреса;
электронная почта;
номера телефонов;
копии паспортов;
копии водительских удостоверений;
селфи, использовавшиеся для KYC;
банковские выписки;
IBAN;
данные о снятии средств;
история финансовых операций;
история Bitcoin-транзакций.

При этом Revolut заявил, что его внутренние системы и деньги клиентов не были скомпрометированы.

Компания также говорит, что инцидент затронул ограниченное число пользователей, но точное количество пока не раскрывает.

Теперь злоумышленники требуют деньги

Следующий этап истории появился уже после официального признания утечки.

International Cyber Digest сообщил, что неизвестные начали распространять чувствительную информацию и требуют от Revolut выплаты.

В опубликованном сообщении злоумышленникам приписывают угрозу:

«Мы будем публиковать все больше данных каждый день, пока Revolut не заплатит».

Также они якобы намерены раскрывать дополнительную информацию о внутренних процессах компании.

Однако на данный момент это необходимо рассматривать именно как заявление вымогателей, а не как независимо подтвержденный график ежедневных утечек.

Кто мог попасть в опубликованные данные

По сообщениям International Cyber Digest, среди образцов могут быть данные теннисиста Александра Шевченко и предпринимателя Феликса Рёмера, связанного с криптоказино Gamdom.

Сообщается о KYC-селфи и изображениях удостоверяющих личность документов.

Однако ни Revolut, ни правоохранительные органы на момент написания не подтвердили публично, что именно эти файлы являются подлинными.

Поэтому корректнее говорить о предполагаемых данных этих людей.

Это особенно важно, поскольку злоумышленники при вымогательстве могут смешивать настоящую информацию с измененными или ложными материалами для усиления давления.

Почему KYC-селфи и паспорт опаснее обычной утечки email

Утечка электронной почты неприятна, но ее последствия обычно ограничиваются спамом и фишингом.

Связка:

паспорт + фотография лица + телефон + домашний адрес + финансовая история

представляет значительно более серьезный риск.

Такой набор данных может использоваться для:

кражи личности;
оформления мошеннических аккаунтов;
таргетированного фишинга;
SIM-swap атак;
социальной инженерии;
попыток восстановления доступа к финансовым сервисам;
шантажа;
фальшивых KYC-проверок.

Особенно опасно сочетание удостоверения личности и селфи.

Именно эти два элемента многие финансовые сервисы используют для подтверждения личности клиента.

История Bitcoin-транзакций повышает риск

Для пользователей криптовалют ситуация еще серьезнее.

Revolut подтвердил, что среди потенциально раскрытых сведений могла находиться полная история транзакций, включая Bitcoin.

Сам по себе блокчейн Bitcoin публичен.

Однако обычно из него нельзя напрямую узнать:

кому принадлежит конкретный адрес.

Если же злоумышленник получает банковскую историю вместе с ФИО, адресом, паспортом и BTC-транзакциями, он потенциально может связать реального человека с отдельными криптовалютными операциями.

Так появляется риск деанонимизации.

Для состоятельных клиентов опасность выше

Ончейн-исследователь ZachXBT ранее предположил, что атакующие могли целенаправленно интересоваться состоятельными пользователями Revolut.

Он отметил, что инцидент выглядит ограниченным по масштабу, но потенциально мог быть ориентирован на high-net-worth users.

Однако это пока гипотеза.

Revolut не сообщил, что именно богатые клиенты являлись основной целью.

Тем не менее логика возможной атаки очевидна.

Если злоумышленник знает, что конкретный человек держит крупные суммы в Bitcoin, он становится значительно более привлекательной целью для последующей социальной инженерии.

Самая большая угроза может начаться после утечки

Первичное раскрытие информации не обязательно приводит к немедленной краже денег.

Однако спустя дни или недели могут появиться новые атаки.

Например, пользователю звонит человек, представляющийся сотрудником Revolut.

Он называет:

ФИО;

дату рождения;

последние операции;

IBAN;

размер Bitcoin-перевода.

Для жертвы такой звонок выглядит убедительно.

После этого мошенник просит подтвердить операцию, назвать код или перейти на «защищенный сайт».

Чем больше настоящих данных известно злоумышленнику, тем сложнее человеку распознать подделку.

Особенно опасна комбинация с криптовалютами

Классический банковский мошенник может столкнуться с лимитом, антифрод-системой или блокировкой перевода.

При self-custody криптовалюты таких защитных механизмов часто нет.

Если человек под влиянием социальной инженерии самостоятельно отправит BTC или подпишет вредоносную транзакцию, вернуть активы может быть невозможно.

Поэтому раскрытие информации о владельцах криптовалют имеет последствия, выходящие далеко за пределы обычной утечки персональных данных.

Что говорит Revolut

Компания заявила, что после обнаружения инцидента:

заблокировала использованный адрес;

уведомила государственное учреждение, чей домен применяли злоумышленники;

сообщила правоохранительным органам;

уведомила регуляторов;

проинформировала органы защиты персональных данных.

Revolut также подчеркивает, что:

его системы не были взломаны;

средства клиентов не пострадали.

Эти два момента принципиально важны.

История связана с ошибочной передачей данных, а не с проникновением злоумышленников непосредственно в банковские системы.

Revolut пока не раскрыл масштаб

Компания использует формулировку limited number of customers — ограниченное число клиентов.

Но точного количества нет.

Неизвестно и то:

сколько мошеннических запросов было удовлетворено;

за какой период;

клиенты каких стран пострадали;

какое именно госведомство было скомпрометировано или использовано;

получили ли атакующие данные одним запросом или несколькими.

Без этих сведений определить полный масштаб инцидента пока невозможно.

Это не первый инцидент с данными Revolut

Есть еще одна неприятная деталь.

BleepingComputer напоминает, что в 2022 году Revolut уже раскрывал другую утечку, тогда персональные и финансовые сведения были затронуты примерно у 50 150 клиентов.

Нынешний случай технически отличается.

Однако повторный крупный инцидент повышает внимание регуляторов к процедурам защиты данных внутри компании.

Особенно если речь идет о раскрытии паспортов и финансовой истории по официально выглядящему запросу.

Почему настоящий государственный домен не гарантирует безопасность

Это, пожалуй, главный технологический урок всей истории.

Финансовые компании обычно проверяют электронные письма с помощью механизмов:

SPF;

DKIM;

DMARC.

Они помогают установить, что письмо действительно пришло от инфраструктуры указанного домена.

Но это не отвечает на другой вопрос:

имеет ли конкретный отправитель право получать запрошенную информацию?

Если учетная запись внутри госведомства скомпрометирована, письмо может пройти все технические проверки.

Домен настоящий.

Подпись настоящая.

Но человек за почтовым ящиком — злоумышленник.

Поэтому запросы на раскрытие особо чувствительной информации должны дополнительно подтверждаться через независимый канал.

Что стоит делать клиентам Revolut

Паниковать и срочно закрывать счет из-за самой новости необходимости нет.

Но если человек получил уведомление Revolut о том, что его данные затронуты, уровень осторожности стоит существенно повысить.

Главное правило:

считать раскрытые данные уже известными мошенникам.

После этого имеет смысл:

внимательно проверять звонки якобы от Revolut;
не сообщать коды из SMS и push-уведомлений;
сменить повторно используемые пароли;
включить сильную двухфакторную аутентификацию;
проверить активные устройства и сессии;
контролировать движение по счетам;
установить дополнительные ограничения на операции;
внимательно следить за попытками восстановления аккаунтов.

При подозрительных обращениях лучше самостоятельно открывать приложение Revolut и связываться с поддержкой оттуда.

Владельцам криптовалют стоит сделать дополнительные проверки

Если среди утекших данных есть история BTC-транзакций, нужно исходить из того, что часть криптовалютной активности может быть связана с реальной личностью.

Следовательно, особенно внимательно стоит относиться к:

поддельным сообщениям аппаратных кошельков;

фишинговым письмам от бирж;

просьбам подтвердить seed-фразу;

«проверкам безопасности» кошелька;

предложениям перенести активы на «безопасный адрес».

Ни Ledger, ни Trezor, ни Coinbase, ни Revolut не должны просить seed-фразу от self-custody кошелька.

Если кто-либо ее запрашивает, это мошенничество.

Нужно ли переносить Bitcoin

Если были раскрыты только данные об операциях, но не приватные ключи, сам Bitcoin технически остается защищенным.

История транзакций не позволяет вычислить seed-фразу.

Однако если злоумышленник смог связать личность с определенным кошельком, риск физического или цифрового таргетинга возрастает.

Для крупных сумм разумно отдельно оценить:

насколько публично связан кошелек с личностью;

не использовались ли адреса повторно;

какие сервисы знают о структуре активов;

не находятся ли все средства на одном адресе.

Но самостоятельно перемещать крупные суммы в панике тоже опасно — спешка сама по себе часто приводит к ошибкам.

Что будет, если Revolut не заплатит

Этого сейчас никто достоверно не знает.

Злоумышленники утверждают, что продолжат публикацию.

Но неизвестно:

каким объемом информации они действительно располагают;

принадлежит ли весь набор Revolut;

насколько опубликованные образцы подлинны;

смогут ли правоохранители закрыть каналы распространения;

ведутся ли переговоры.

Поэтому предполагать, что утечка обязательно будет увеличиваться каждый день, пока рано.

Это типичная тактика вымогателей: максимально увеличить психологическое давление на компанию.

Почему платить вымогателям тоже опасно

Даже если компания согласится выплатить деньги, никаких технических гарантий удаления информации не существует.

Получатель может:

оставить копию;

продать ее другой группе;

снова потребовать деньги;

опубликовать данные позднее.

То есть в отличие от возврата зашифрованного сервера после ransomware, здесь невозможно доказать, что украденный файл действительно уничтожен.

Данные можно копировать бесконечно.

Именно поэтому атаки с кражей информации особенно сложны для жертв.

Это уже не только проблема Revolut

Серия последних инцидентов показывает общий риск всей криптофинансовой инфраструктуры.

У Trezor в сентябре фишинговые письма были отправлены с легитимной инфраструктуры стороннего email-провайдера. В отдельном инциденте через логистического подрядчика оказались раскрыты данные десятков тысяч клиентов аппаратных кошельков.

Общая проблема одна:

сама криптография кошелька может оставаться надежной, но персональные данные владельца хранят централизованные компании.

Именно эти базы становятся привлекательной целью.

Что это значит для инвестора?

Нынешний инцидент практически не влияет напрямую на цену Bitcoin.

Но для криптовалютных инвесторов он очень важен с точки зрения операционной безопасности.

Риски сегодня находятся не только в приватном ключе.

Уязвимыми становятся:

KYC-базы;

история транзакций;

email-провайдеры;

службы поддержки;

государственные запросы;

логистические сервисы.

Поэтому современная криптобезопасность — это уже не просто «не отдавайте seed-фразу».

Не менее важно минимизировать количество мест, где одновременно хранятся ваша личность и информация о размере криптовалютного капитала.

Вывод Expert Finance: утечка данных Revolut официально подтверждена, но новая стадия с ежедневными публикациями пока основывается прежде всего на заявлениях злоумышленников и сообщениях киберисследователей. Предположительно уже публикуются KYC-документы отдельных клиентов, а вымогатели угрожают раскрывать новые сведения, пока компания не заплатит. Наибольший риск заключается не только в самих документах, а в сочетании паспортных данных, селфи, банковской истории и Bitcoin-транзакций — такой набор позволяет создавать крайне убедительные целевые атаки на владельцев крупных активов.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.