Revolut sam wydał oszustom paszporty i dane klientów. Wystarczył fałszywy e-mail od „rządu”
Myślisz, że twoje dane w aplikacji finansowej są chronione przez zaawansowane algorytmy szyfrujące? Revolut właśnie udowodnił, że najsłabszym ogniwem wciąż są procedury.
Fintech dobrowolnie przekazał przestępcom skany paszportów, zdjęcia weryfikacyjne i pełne historie transakcji swoich klientów. Powód? Oszuści przysłali wniosek ze złośliwie wykorzystanej domeny rządowej.
Atak na biurokrację, a nie na serwery
W tym włamaniu nie było wyrafinowanego łamania zabezpieczeń ani dziur w kodzie aplikacji. Jak wynika z informacji przekazanych przez firmę, przestępcy przeprowadzili wysoce skuteczny impersonation scam (oszustwo polegające na podszywaniu się). Użyli prawdziwej domeny pocztowej należącej do agencji rządowej, z której wysłali fałszywe żądania wydania informacji o użytkownikach.
Wiadomości wyglądały na tyle wiarygodnie, że bez problemu przeszły przez wewnętrzne filtry uwierzytelniające Revoluta. Zanim firma zorientowała się, że koresponduje z oszustami, paczka skrajnie wrażliwych danych trafiła już w ich ręce.
Celowano w najbogatszych
Revolut oficjalnie potwierdził incydent. Rzecznik firmy zapewnił, że zablokowano już trefny adres i powiadomiono zarówno wykorzystaną agencję rządową, jak i organy ścigania oraz regulatorów rynkowych. Pieniądze klientów oraz same systemy bankowe mają być bezpieczne, a wyciek dotyczy wyłącznie danych osobowych.
Skala ataku pozostaje nieznana, ale wszystko wskazuje na to, że była to operacja snajperska. Według analityka blockchainowego kryjącego się pod pseudonimem ZachXBT, incydent był ograniczony i wycelowany bezpośrednio w użytkowników z największym majątkiem. O poszkodowanych osobach Revolut poinformował bezpośrednio w miniony piątek.
Bolesna lekcja z procedur KYC
Ten absurdalny wyciek to woda na młyn dla krytyków rygorystycznych procedur KYC (Know Your Customer). Wymusza się na nas oddawanie korporacjom najintymniejszych danych – zdjęć twarzy czy dowodów osobistych – pod szczytnym pretekstem walki z praniem brudnych pieniędzy i terroryzmem.
Niestety, scentralizowane bazy takich informacji są tykającą bombą. Ufamy, że wielkie fintechy będą ich strzec jak niepodległości, a na koniec dnia okazuje się, że wystarczy dobrze sfałszowany e-mail z urzędową pieczątką, by korporacja sama wysłała nasze paszporty hakerom.
Revolut to już nie tylko bank. W Polsce oficjalnie ruszył Revolut Mobile. Ceny od 25 zł
