Hackers ζητούν 780 εκατομμύρια δολάρια σε Bitcoin από τη Revolut μετά από παραβίαση δεδομένων

Η Revolut επιβεβαίωσε στις 12 Σεπτεμβρίου ότι αποκάλυψε ευαίσθητα δεδομένα πελατών σε μη εξουσιοδοτημένο μέρος, μετά από απατηλά αιτήματα που εστάλησαν από διεύθυνση ηλεκτρονικού ταχυδρομείου που φαινόταν να ανήκει σε νόμιμο κυβερνητικό φορέα, σε αυτό που η εταιρεία αποκαλεί "εξελιγμένη απάτη εξωτερικής υποκλοπής ταυτότητας". Οι επιτιθέμενοι έχουν αρχίσει να δημοσιεύουν κλεμμένα αρχεία και απαιτούν λύτρα ύψους 10.000 Bitcoin ↘ 2.34% — περίπου 780 εκατομμύρια δολάρια — απειλώντας να δημοσιοποιούν περισσότερα δεδομένα καθημερινά εάν η Revolut δεν πληρώσει.coincentral+3

Η παραβίαση επηρέασε περίπου 680 πελάτες σε διάφορες χώρες, συμπεριλαμβανομένων 12 στην Ιρλανδία, 25 στην Ισπανία και 27 στη Ρουμανία, σύμφωνα με ρεπορτάζ των Financial Times που αναμεταδόθηκε από το Investing.com. Το Γραφείο Επιτρόπου Πληροφοριών του Ηνωμένου Βασιλείου επιβεβαίωσε ότι έλαβε αναφορά από τη Revolut και αξιολογεί το περιστατικό, ενώ η Αρχή Χρηματοοικονομικής Συμπεριφοράς δήλωσε ότι βρίσκεται σε επικοινωνία με την εταιρεία.insurancebusinessmag+2

Τι εκτέθηκε

Τα δεδομένα που παραδόθηκαν ήταν ασυνήθιστα εκτενή για ένα μεμονωμένο περιστατικό. Σύμφωνα με το CoinDesk, τα αρχεία περιλάμβαναν διαβατήρια ή άδειες οδήγησης, selfies ταυτοποίησης, ονόματα, ημερομηνίες γέννησης, επαγγέλματα, διευθύνσεις κατοικίας, email, αριθμούς τηλεφώνου, IBAN, καταστάσεις λογαριασμών, αρχεία αναλήψεων και πλήρη ιστορικά συναλλαγών, συμπεριλαμβανομένης όλης της δραστηριότητας σε Bitcoin. Η ίδια η ειδοποίηση της Revolut προς τους πελάτες επιβεβαίωσε αυτό το εύρος.helpnetsecurity+2

Ο συνδυασμός εγγράφων ταυτοποίησης και δεδομένων συναλλαγών Bitcoin είναι αυτό που διακρίνει αυτή την παραβίαση. Οι συναλλαγές Bitcoin είναι δημόσια ορατές στο blockchain αλλά ψευδώνυμες. Η σύνδεση των αναφορών πορτοφολιού με ένα επαληθευμένο όνομα και σάρωση διαβατηρίου καταργεί ουσιαστικά αυτή την ψευδωνυμία, καθιστώντας τους επηρεαζόμενους πελάτες πιθανούς στόχους για phishing, εκβιασμό ή χειρότερα.coindesk+1

Πώς λειτούργησε η απάτη

Κανείς δεν παραβίασε τους διακομιστές της Revolut. Ο επιτιθέμενος έστειλε αιτήματα δεδομένων από αυτό που φαινόταν να είναι ένας γνήσιος τομέας email κυβερνητικού φορέα. Τα μηνύματα πέρασαν τους τεχνικούς ελέγχους ταυτοποίησης της Revolut — SPF, DKIM και DMARC — και διεκπεραιώθηκαν ως τυπικά αιτήματα νομικής συμμόρφωσης. Η Revolut ανακάλυψε την απάτη μόνο αφού επικοινώνησε ξεχωριστά με τον φορέα και έμαθε ότι τα αιτήματα δεν ήταν νόμιμα.coindesk+2

Ο πρώην διευθύνων σύμβουλος του Mt. Gox, Mark Karpelès, σημείωσε στα μέσα κοινωνικής δικτύωσης ότι ένα αρχείο που δημοσιεύτηκε από τους επιτιθέμενους φαινόταν να είναι ένα πρωτότυπο email που στάλθηκε μέσω του συστήματος πιστοποιημένου ταχυδρομείου PEC της Ιταλίας, το οποίο χρησιμοποιούν οι ιταλικές αρχές για επίσημη νομική αλληλογραφία. Το Cybernews ανέφερε ότι ο χάκερ ισχυρίστηκε πως η παραβίαση διήρκεσε έξι μήνες.x

"Οι περισσότερες επιτυχημένες επιθέσεις που επηρεάζουν τους ασφαλισμένους μας προέρχονται από ανθρώπινο λάθος", δήλωσε στο Insurance Business ο Simon Hughes, επικεφαλής εμπορικός διευθυντής της Cowbell Cyber. "Το να κάνεις κατά λάθος κλικ σε έναν σύνδεσμο, το να απαντήσεις κατά λάθος σε κάποιον που δεν θα έπρεπε".insurancebusinessmag

Εκβιασμός και συνέπειες

Οι επιτιθέμενοι ανέλαβαν την ευθύνη στο Telegram και άρχισαν να δημοσιεύουν κλεμμένα αρχεία, συμπεριλαμβανομένων εγγράφων ταυτοποίησης που ανήκουν στον τενίστα Alexander Shevchenko και τον διευθύνοντα σύμβουλο της Gamdom, Felix Römer, σύμφωνα με το International Cyber Digest. Η απαίτηση για 10.000 BTC παραμένει ανεπιβεβαίωτη από τη Revolut, η οποία αρνήθηκε να σχολιάσει τον εκβιασμό.cryptoticker+2

Η Revolut, η οποία εξυπηρετεί περισσότερους από 80 εκατομμύρια πελάτες και αποτιμήθηκε στα 115 δισεκατομμύρια δολάρια σε δευτερογενή πώληση μετοχών νωρίτερα φέτος, τόνισε ότι τα βασικά τραπεζικά της συστήματα και τα κεφάλαια των πελατών δεν τέθηκαν σε κίνδυνο. Όμως, για τα περίπου 680 άτομα των οποίων τα διαβατήρια και οι βιομετρικές selfies κυκλοφορούν πλέον στο διαδίκτυο, αυτή η διάκριση προσφέρει περιορισμένη παρηγοριά.reuters+1