Revolut oddał oszustom twój paszport — bez włamania, przez fałszywy mail od rządu

Revolut nie został zhakowany. Nikt nie włamał się do jego zabezpieczeń ani nie znalazł luki w kodzie. Zamiast tego atakujący podszył się pod organ państwowy, używając adresu e-mail z prawdziwą oficjalną domeną, złożył wniosek o udostępnienie danych, który przeszedł weryfikację Revoluta jako autentyczny, i wyniósł pełne dokumenty tożsamości, kopie paszportów, selfie z procesu onboardingu oraz pełną historię kont dotkniętych użytkowników — w tym każdą transakcję Bitcoin w rejestrze.

Atak wykorzystał obowiązek prawny, a nie błąd w oprogramowaniu. Platformy finansowe są zobowiązane prawem do odpowiadania na oficjalne żądania danych od organów rządowych i służb ścigania. Podrabiając te żądania na tyle przekonująco, by przeszły weryfikację Revoluta, atakujący zamienił proces zgodności mający chronić użytkowników w mechanizm kradzieży danych. Revolut poinformował, że samodzielnie próbował zweryfikować żądanie z odpowiednim organem, ale oszustwo wykryto dopiero po tym, gdy dane zostały już udostępnione.

Dla każdego, czyje konto zostało objęte tym incydentem, skala naruszenia jest głębsza niż w standardowym wycieku. Skradzione dane łączą pełne zweryfikowane tożsamości — imiona i nazwiska, daty urodzenia, adresy zamieszkania, kopie paszportów lub praw jazdy oraz selfie przesłane podczas weryfikacji konta — z odniesieniami do portfeli Bitcoin i pełnymi zapisami transakcji w łańcuchu. Ta kombinacja nie wygasa. Nawet jeśli dotknięci użytkownicy założą nowe portfele, każdy, kto ma wyciekłe dane, może trwale prześledzić ich wcześniejsze ruchy monet do potwierdzonej tożsamości w świecie rzeczywistym.

Revolut oświadczył, że nie obejmowało to biometrycznej telemetrii twarzy — czyli szablonów generowanych systemowo do automatycznego dopasowywania twarzy — a jedynie surowe zdjęcie zrobione podczas onboardingu. Środki klientów nie zostały naruszone. Firma zablokowała fałszywy adres e-mail, powiadomiła organ rządowy, którego tożsamość została skopiowana, poinformowała służby ścigania i złożyła wymagane zgłoszenia regulacyjne. To, czy europejskie organy ochrony danych uznają tę reakcję za wystarczającą, pozostaje otwartym pytaniem: RODO nakłada ścisłe obowiązki na firmy w zakresie przetwarzania i ochrony tego rodzaju dokumentów tożsamości, które zostały przejęte.

Incydent wskazuje na kategorię ataków, których samo bezpieczeństwo techniczne nie może zapobiec. Firma może szyfrować bazy danych, audytować API i przeprowadzać testy penetracyjne — a mimo to paść ofiarą socjotechniki poprzez procedury, które jest prawnie zobowiązana przestrzegać. Problem nie leży w kodzie Revoluta. To nierozwiązane pytanie, jak każda organizacja weryfikuje, czy żądanie opatrzone oficjalnymi oznaczeniami faktycznie pochodzi od urzędnika, za którego się podaje.

Revolut powiadomił dotkniętych klientów bezpośrednio i nie ujawnił całkowitej liczby kont objętych incydentem ani konkretnych rynków, na których doszło do naruszenia. Dla każdego, kto otrzymał powiadomienie o naruszeniu, dokumenty tożsamości w rękach oszustów otwierają drzwi do oszustw wykraczających daleko poza samą platformę — fałszywe użycie paszportu, phishingowe telefony odwołujące się do prawdziwych danych konta, kradzież tożsamości w usługach finansowych. A zapis Bitcoin to inny rodzaj problemu: Revolut może zresetować hasło, ale nikt nie zresetuje blockchaina.

Tagi: fintech, data breach, Revolut, social engineering