Domena była prawdziwa. Uprawnienia za nią stojące już nie
Revolut potwierdził 12 września, że ujawnił dane klientów po otrzymaniu wiadomości, którą określił jako "wyrafinowane zewnętrzne oszustwo polegające na podszywaniu się", w którym napastnik wykorzystał autentyczną domenę e-mail agencji rządowej do złożenia fałszywych wniosków. W oświadczeniu Revolut podano, że wniosek zawierał dane uwierzytelniające, które przeszły wewnętrzne kontrole firmy, a adres został od tego czasu zablokowany, a organy ścigania i regulatorzy powiadomieni. Firma nie ujawniła nazwy agencji, której domeny użyto, i nie powiedziała, czy sama domena została przejęta, czy sprawca znalazł inny sposób na wysyłanie z niej wiadomości.
Revolut był jednoznaczny co do jednej kwestii: "Systemy Revolut i środki klientów nie zostały naruszone". Nie doszło do włamania do infrastruktury Revolut. To własny proces firmy dotyczący odpowiadania na oficjalne wnioski zadziałał dokładnie tak, jak został zaprojektowany, wobec żądania, które wyglądało dokładnie jak te, które ma on honorować.
Co faktycznie wyciekło z systemów Revolut
Ujawnione pliki, jak wynika z doniesień przeanalizowanych po ujawnieniu incydentu, obejmowały znacznie więcej niż imię, nazwisko i adres.
| Kategoria | Co zostało ujawnione |
|---|---|
| Dokumenty tożsamości | Paszporty lub prawa jazdy oraz selfie weryfikacyjne |
| Dane osobowe | Imiona i nazwiska, daty urodzenia, zawody, adresy domowe, adresy e-mail, numery telefonów |
| Dane finansowe | Numery IBAN, wyciągi z kont, zapisy wypłat |
| Historia transakcji | Pełna historia transakcji, w tym aktywność w bitcoinie |
Revolut oświadczył, że liczba poszkodowanych klientów jest "ograniczona", nie podając konkretnej wartości, a niezależne doniesienia również nie zdołały jej potwierdzić. Uwzględnienie pełnej historii transakcji kryptowalutowych ma znaczenie wykraczające poza samo naruszenie prywatności: daje posiadaczowi tych danych gotową listę klientów, którzy faktycznie posiadają i przenoszą aktywa cyfrowe, czyli dokładnie te informacje, jakich potrzebowałoby kolejne oszustwo.
To błąd weryfikacji kontrahenta, a nie włamanie
Ten schemat nie jest nowy, nowy jest jedynie cel ataku. Oszustwa typu business email compromise od lat nakłaniają działy finansowe do przelewania pieniędzy na konto fałszywego dostawcy poprzez podszywanie się pod domenę prawdziwego kontrahenta lub jej przejęcie, a zasada obrony, której uczy się każdy zespół finansowy, jest zawsze taka sama: to, że domena jest prawdziwa, nie oznacza, że prawdziwe jest żądanie stojące za nią, dlatego przed wykonaniem jakiejkolwiek operacji należy zweryfikować je inną drogą. Wyciek w Revolut to dokładnie ten sam błąd, tylko po stronie danych, a nie pieniędzy. Domena, która rzeczywiście należała do agencji rządowej, wystarczyła, by doprowadzić do udostępnienia plików klientów, ponieważ żaden element procesu nie wymuszał drugiej, niezależnej weryfikacji osoby lub urzędu faktycznie składającego wniosek.
To niewygodna prawda, z którą musi się zmierzyć każda regulowana firma: domena nie była fałszywa. Wszystko, czego szukałaby zwykła kontrola na poziomie skrzynki odbiorczej, było obecne i poprawne. Wykryć to mogło jedynie oddzwonienie do zweryfikowanego kontaktu, przy użyciu numeru lub adresu uzyskanego niezależnie od samej wiadomości e-mail.
Co powinna teraz sprawdzić każda regulowana firma
Każda firma z UE lub Wielkiej Brytanii, która przyjmuje i realizuje oficjalne wnioski o dane drogą mailową, nie tylko banki i fintechy, ma dokładnie taką samą lukę, którą Revolut właśnie pokazał jako możliwą do wykorzystania. Uwierzytelnianie domeny, SPF, DKIM, poprawnie wyglądająca stopka podpisu, potwierdzają jedynie, skąd przyszła wiadomość. Żaden z tych mechanizmów nie potwierdza, że osoba ją wysyłająca rzeczywiście posiada uprawnienia, na które się powołuje, a traktowanie obu tych rzeczy jako tożsamych to dokładnie ta luka, przez którą przeszedł ten wyciek.
Praktycznym rozwiązaniem nie jest nowe oprogramowanie zabezpieczające. To spisana zasada, według której każdy wniosek o dane klientów, bez względu na to, jak oficjalnie wygląda, podlega weryfikacji przez oddzwonienie do kontaktu uzyskanego niezależnie od samej wiadomości e-mail, czyli ten sam standard, jakiego zespoły finansowe uczy się już stosować przed przelaniem pieniędzy. Zgodnie z RODO, a tam gdzie ma zastosowanie także z DORA, ten krok weryfikacji stanowi różnicę między udokumentowanym, obronnym procesem a raportem o naruszeniu, w którym napisano, że wniosek "wyglądał na uzasadniony".
Czytaj dalej: Francuski fiskus jest zwolniony z własnych kar RODO | Twoje Zdjęcie Z Prawa Jazdy Leżało Rok Na Ich Serwerze
