Co się dokładnie stało?
Revolut, europejska firma fintechowa, potwierdził wyciek wrażliwych danych u części swoich klientów. Według firmy napastnicy wykorzystali legalną domenę e-mailową urzędu państwowego do wysłania fałszywego wniosku o informacje. Revolut ocenił wniosek jako prawdziwy i wydał dane.
Na incydent jako pierwszy zwrócił uwagę śledczy on-chain występujący pod pseudonimem ZachXBT. Revolut następnie potwierdził jego ustalenia. Tyle na temat faktów, które pojawiają się zgodnie w różnych źródłach (Incrypted, The Block, Decrypt, CryptoSlate).
Jakie dane mogły wyciec?
Według informacji, które otrzymali dotknięci klienci (i które cytuje CryptoSlate oraz Decrypt), lista wydanych danych mogła obejmować:
| Kategoria | Konkretne dane |
|---|---|
| Dokumenty tożsamości | kopie paszportu lub prawa jazdy, weryfikacyjne selfie |
| Dane osobowe | imię i nazwisko, data urodzenia, zawód, adres zamieszkania, telefon |
| Dane bankowe | IBAN, wyciągi z konta |
| Historia transakcji | zapisy o wypłatach oraz kompletna historia transakcji, w tym aktywność bitcoinowa |
Weryfikacyjne selfie to zdjęcie twarzy wykonane podczas weryfikacji tożsamości (KYC, czyli "poznaj swojego klienta"), którego banki używają do potwierdzenia, że rejestruje się rzeczywisty właściciel dokumentu.
Revolut według źródeł opisuje zakres jako "ograniczoną liczbę" klientów. Dokładna liczba nie jest publicznie znana.
Jak działał atak?
Istotą nie był klasyczny hack systemów Revolutu. Według CryptoSlate wniosek przyszedł z nieautoryzowanej skrzynki, która jednak działała wewnątrz infrastruktury domenowej urzędu państwowego. Innymi słowy, adres nadawcy wyglądał na prawdziwy, ponieważ faktycznie należał do domeny urzędu.
To czyni z incydentu raczej porażkę procesu weryfikacji legalnych wniosków organów władzy publicznej niż włamanie do bazy danych. Chodzi o typ ataku, który po angielsku nazywa się "fraudulent data request", czyli oszukańczy wniosek o dane nadużywający zaufania między instytucjami.
Kto był celem?
ZachXBT według The Block spekulował, że atak mógł być wymierzony w zamożnych użytkowników (high-net-worth). CryptoSlate w tytule mówi o "wealthy customers". To jest jednak na razie hipoteza śledczego, a nie potwierdzony fakt ze strony Revolutu. Oznaczamy to dlatego jako niepotwierdzone.
Dlaczego ma to znaczenie w przypadku kryptowalut?
Do wycieku samych pieniędzy nie doszło. Problemem jest kombinacja danych. Gdy ktoś posiada jednocześnie dokument tożsamości, adres zamieszkania, telefon oraz kompletną historię transakcji bitcoinowych, zyskuje materiał do celowanego phishingu, szantażu lub tak zwanych ataków "pod klucz" (fizyczne zagrożenie osób, o których wiadomo, że posiadają krypto).
Historia transakcji dodatkowo umożliwia powiązanie prawdziwej tożsamości z konkretnymi adresami on-chain. To jest dokładnie ten rodzaj deanonimizacji, przed którym eksperci od dawna ostrzegają w przypadku wycieków danych KYC.
Co pozostaje nieznane?
Publicznie na razie nie znamy dokładnej liczby dotkniętych klientów, o jaki konkretny urząd państwowy i jurysdykcję chodziło, ani czy i jak wyciekłe dane zostały dalej wykorzystane. Nie znamy również, jakie środki naprawcze wprowadził Revolut. Punkty te nie są udokumentowane w dostępnych źródłach.
Na co uważać przy tym typie incydentu
Nie chodzi o radę, co robić z pieniędzmi, ale o ogólne wzorce, które warto śledzić przy wyciekach danych KYC: zwiększone ryzyko celowanego phishingu wymierzonego w dotkniętych użytkowników, możliwe próby przejęcia kont oraz oficjalną komunikację firmy o zakresie i naprawie. Można również obserwować, czy regulator w danej jurysdykcji zacznie badać incydent.