Így szerezték meg 680 Revolut-ügyfél adatait

A Revolutot nem a szó hagyományos értelmében törték fel: a támadók nem jutottak be a pénzügyi szolgáltató központi rendszerébe, nem törték fel az ügyfelek számláit, és a pénzükhöz sem fértek hozzá. Ehelyett egy olasz állami intézmény kompromittált elektronikus levelezését használták fel, nyomozóknak adták ki magukat, majd hónapokon keresztül hivatalos adatkéréseknek álcázott levelekkel vették rá a Revolutot arra, hogy maga adja át nekik az ügyfelek bizalmas adatait.

A magát IAmNotAVillain néven azonosító csoport állítása szerint hozzáférést szerzett a Reggio Calabria-i prefektúra hitelesített elektronikus postafiókjához, vagyis egy olyan PEC-címhez, amelyet Olaszországban hivatalos, joghatással bíró kommunikációra használnak. A támadók erről a valódi kormányzati címről írtak a Revolut litvániai központjának, és azt állították, hogy egy milánói ügyészségi nyomozáshoz kérnek banki adatokat. Hivatkoztak az európai nyomozási határozatra és az uniós igazságügyi együttműködés szabályaira is, így a levelezés első látásra valódi hatósági megkeresésnek tűnhetett.

Csakhogy több részlet is gyanút kelthetett volna. A feltételezett milánói nyomozás kérelmei egy Reggio Calabria-i címről érkeztek, a dokumentumokon pedig a római ügyészséghez tartozó, ráadásul hibás iktatószámok szerepeltek. A Revolut ennek ellenére folytatta a levelezést, sőt egy március 24-i üzenetben maga jelezte a csalóknak, hogyan kell kijavítaniuk a kérelem fejlécét ahhoz, hogy a bank teljesíthesse az adatkérést. Május elején a Revolut még elnézést is kért az információk átadásának késedelméért, július 24-én pedig közölte, hogy elküldte a kért dokumentumokat, a titkosított csomag jelszavát pedig külön levélben továbbítja.

A támadás mintegy 680 ügyfelet érintett, akik közül sokan jelentős kriptovagyonnal rendelkező, úgynevezett „kriptobálnák” lehettek. A kiszolgáltatott adatok között útlevél- és személyazonosító okmányok másolatai, lakcímek, telefonszámok, bankszámlaadatok és részletes tranzakciós előzmények is szerepelhettek. Ezekből nemcsak az derülhet ki, hogy az érintettek mennyi pénzt vagy kriptovalutát tartanak, hanem az is, hol élnek és kikkel üzletelnek, vagyis az adatszivárgás a hagyományos pénzügyi csalások mellett akár fizikai zsaroláshoz és emberrabláshoz is használható célpontlistát hozhatott létre.

A Revolut egyik leveléből az is kiderült, hogy a kért profilok közül 169-et a vállalat brit központja kezelt, ezért ezek átadásához más jogi eljárásra lett volna szükség. Ez jól mutatja, hogy a bank rendszere bizonyos formai és joghatósági különbségeket képes volt felismerni, miközben azt hónapokon keresztül nem ellenőrizte megfelelően, hogy a levelezés másik oldalán valóban olasz nyomozók ülnek-e.

A támadók később hárommillió dollárt követeltek, és azzal fenyegetőztek, hogy ellenkező esetben nyilvánosságra hozzák vagy más bűnözői csoportoknak adják el az adatokat. A Revolut azt közölte, hogy közvetlenül nem kapott váltságdíj-követelést, belső infrastruktúráját és ügyfélszámláit pedig nem törték fel. Az érintett ügyfeleket értesítették, a használt címet letiltották, az olasz hatóságok pedig vizsgálják, miként kerülhetett illetéktelenek kezébe a prefektúra hitelesített postafiókja.

Forrás: FT