Revolut a avut o breșă de securitate. Sau de fapt, mai bine spus, a avut încredere într-un prinț nigerian și crezând că discută cu o agenție guvernamentală, a divulgat informații ale unor clienți, precum numere de telefon, adrese poștale, copii ale actelor de identitate și selfie-uri de verificare.
În apărarea lor, cei care le-au cerut datele acestea au folosit o adresă de mail de pe un domeniu de e-mail legitim al instituției respective. Deci atacatorii au avut o portiță la o instituție a unui guvern și au făcut un pic de social engineering ca să convingă pe cineva de la Revolut să trimită niște informații sensibile. Extrase de cont, istoricul tranzacțiilor, tranzacții cu crypto, tot.
Revolut se apără spunând că numărul celor afectați este “limitat”, fără să precizeze exact cât de limitat. Nu se știe încă nici țara la nivelul căreia a fost breșa asta de securitate sau dacă a fost vorba despre o singură țară.
Acest incident a fost expus de ZachXBT, un tip anonim, care investighează independent scam-uri și furturi de crypto. Tot el spune că incidentul părea să vizeze utilizatori cu averi mari.
TechCrunch spune că datele expuse au inclus informații privind identitatea și datele de contact ale clienților – precum data nașterii, adresele poștale și de e-mail, numerele de telefon – dar și copii ale documentelor de identitate (pașapoarte și permise de conducere), conform unei notificări trimise prin e-mail clienților afectați.
Ce concluzie trag eu după incidentul Revolut?
- Dacă nu ați primit acel mail de la Revolut, probabil nu aveți de ce să vă îngrijorați. Momentan eu nu cunosc pe nimeni care să-l fi primit.
- Nu mi se pare neapărat o breșă de securitate la nivelul Revolut. Atacatorul nu a spart el vreo parolă sau vreun server de-al Revolut. Breșa de securitate a fost la acea agenție guvernamentală, oricare ar fi fost ea, iar la Revolut a fost o problemă mai degrabă de protocol. Au primit mail de la o adresă de agenție guvernamentală validă, protocolul spunea că trebuie să oferi informații în astfel de cazuri, Revolut le-a oferit.
- Se pare că atacul a fost targetat. Respectivul știa exact care sunt persoanele cu mult crypto în conturi. Întrebarea este de unde știa asta?
Bănuiala mea este că apoi hackerman a folosit selfie-urile și documentul de identitate pentru a se loga de pe un alt device în conturile vizate și a încerca să facă tranzacții.
- Stai un pic, selfie-uri de verificare? Eu trăiam cu impresia că acestea nu sunt folosite doar pentru verificarea punctuală și nu sunt stocate ulterior de Revolut. Is this normal? Așa fac și celelalte bănci? Așa face și ROeID? Sau e o problemă la Revolut?
- Nu în ultimul rând, incidentul acesta mie îmi demonstrează că nicio bancă nu poate fi îndeajuns de sigură. Din moment ce acel actor avea acces la o adresă guvernamentală, poți să ai tu ca bancă cele mai tari sisteme și criptări. Dacă protocolul spune că trebuie să dai informațiile către ANAF și cererea a venit de pe o adresă @anaf.ro, le dai.
