أكدت Revolut وقوع خرق للبيانات لم يتضمن اختراق خوادم أو سرقة كلمات مرور أو استغلال ثغرات برمجية. بدلاً من ذلك، تقول شركة التكنولوجيا المالية العملاقة إن المحتالين طلبوا البيانات ببساطة، وانتحلوا صفة جهة تمتلك السلطة القانونية لطلبها. وقد أبلغت الشركة العملاء المتأثرين وأخطرت الجهة الحكومية المعنية وإنفاذ القانون والجهات التنظيمية المالية، في أحدث فصل من حادثة كانت vpn.social تتابعها مع ظهور تفاصيل جديدة.
ما الذي حدث: طلبات مزيفة، بيانات حقيقية
وفقاً لوصف Revolut نفسه للحادثة، نشأ الخرق مما وصفته الشركة بعملية انتحال هوية متطورة. تمكن طرف ثالث غير مصرح له من انتحال صفة وكالة حكومية شرعية واستخدم تلك الهوية المزيفة لتقديم طلبات بيانات إلى Revolut. ولأن مثل هذه الطلبات تأتي عادةً من إنفاذ القانون أو الهيئات التنظيمية التي تجري تحقيقات مشروعة، يُتوقع عموماً من المؤسسات المالية الامتثال بسرعة، غالباً دون التحقق المطوّل الذي يُستخدم في أنواع أخرى من الوصول إلى البيانات.
هذا التوقع بالتحديد هو ما يبدو أن المحتالين استغلوه. فبدلاً من اختراق الجدران النارية أو التشفير، استغلوا الثقة المدمجة في عملية الامتثال نفسها. وقد أبلغت Revolut منذ ذلك الحين العملاء المتأثرين مباشرةً وأشركت الجهة الحكومية الفعلية التي أُسيء استخدام هويتها، إلى جانب إنفاذ القانون والجهات التنظيمية المالية التي تشرف على عمليات الشركة.
هذه ليست المرة الأولى التي تظهر فيها تفاصيل هذه الحادثة. فقد وصفت تقارير سابقة غطتها vpn.social كيف تسربت جوازات السفر عبر طلب مزيف مرتبط بالمخطط نفسه، وفصّلت مقالة لاحقة كيف كشف الخرق أيضاً عن بيانات متعلقة بالعملات المشفرة إلى جانب وثائق الهوية. وعلى القراء الذين يريدون الجدول الزمني الأكثر اكتمالاً مراجعة كلتا المقالتين إلى جانب هذا التأكيد من Revolut.
ما بيانات العملاء التي تم كشفها
لم تنشر Revolut قائمة كاملة بكل نقطة بيانات أُخذت، لكن التغطية السابقة لهذه الحادثة أشارت إلى أن وثائق الهوية، بما في ذلك معلومات جواز السفر، كانت من بين السجلات المكشوفة. وتشير طبيعة الطلبات الاحتيالية إلى أن المهاجمين كانوا يسعون تحديداً وراء نوع المعرّفات الشخصية والمالية التي تحتاجها الجهات الحكومية وإنفاذ القانون بشكل مشروع أثناء التحقيق، مما يعني أن البيانات على الأرجح تتضمن معلومات مرتبطة مباشرة بهوية العميل ونشاط حسابه.
قالت Revolut إنها تُبلغ مباشرةً العملاء الذين تأثرت بياناتهم، مما يعني أن مستخدمي التطبيق يجب أن يترقبوا تواصلاً رسمياً من الشركة بدلاً من افتراض أنهم لم يتأثروا لمجرد أنهم لم يسمعوا شيئاً بعد.
لماذا يتفوق الهندسة الاجتماعية على الأمن القوي
ما يجعل هذه الحادثة جديرة بالملاحظة هو ما ليست عليه. فهي ليست قصة عن خادم سيئ الإعداد، أو ثغرة غير مُرقّعة، أو هجوم بالقوة الغاشمة على أنظمة مشفرة. تستثمر Revolut، مثل معظم منصات التكنولوجيا المالية الكبرى، بكثافة في ضوابط الأمن التقني.但这些 الضوابط تصبح إلى حد كبير غير ذات صلة عندما يقنع مهاجم عملية بشرية، لا آلة، بأن تسلّم البيانات ببساطة.
تُعد الطلبات المزيفة أو المنتحلة للجهات الحكومية وإنفاذ القانون أسلوباً معروفاً في جميع أنحاء صناعة التكنولوجيا، تحديداً لأنها تستهدف فجوة التحقق بين "هذا يبدو رسمياً" و"هذا مؤكد أنه رسمي". وقد تعتاد الشركات التي تتلقى طلبات قانونية حقيقية بانتظام على التصرف بسرعة، وهو أمر فعّال للتحقيقات الحقيقية لكنه يخلق ثغرة لمنتحلي الهوية الذين يفهمون الأوراق والمصطلحات جيداً بما يكفي ليبدوا مقنعين.
يهم هذا التمييز في كيفية تفكير العملاء في المخاطر مستقبلاً. فالخرق الناتج عن خلل تقني غالباً ما يُرقّع مرة واحدة، وبعدها تُغلق الثغرة المحددة. أما الخرق الناتج عن انتحال هوية ناجح فيكشف عن ضعف في العملية يمكن نظرياً تكرار محاولته، سواء ضد Revolut أو مؤسسة أخرى، حتى تُحكم إجراءات التحقق.
ما يعنيه هذا بالنسبة لك
إذا كنت عميلاً لـ Revolut، فإن الخطر العملي هنا هو انكشاف الهوية، وليس بالضرورة الاستيلاء المباشر على الحساب. فوثائق مثل صور جوازات السفر وبيانات الهوية ذات قيمة للمحتالين لأنها يمكن استخدامها لفتح حسابات جديدة أو التقدم بطلبات ائتمان أو تجاوز فحوصات الهوية في مؤسسات أخرى، وأحياناً بعد وقت طويل من تلاشي الخرق الأصلي من العناوين الرئيسية. ولهذا ينبغي التعامل مع هذا النوع من الانكشاف كمخاطرة مستمرة لا كحدث واحد يُتفاعل معه مرة ثم يُنسى.
لقد تعاملت Revolut بالفعل مع إنفاذ القانون والجهات التنظيمية، لذا هناك استجابة مؤسسية جارية. لكن العملاء الأفراد لا يزالون يتحملون عبء مراقبة تعرضهم الخاص، إذ لا يمكن لأي إشعار من الشركة أن يمحو تماماً حقيقة أن وثائق حساسة اطّلع عليها طرف غير مصرح له.
خطوات عملية يمكن اتخاذها الآن
- ترقّب رسائل الإشعار الرسمية من Revolut، وتحقق من صحتها عبر التطبيق بدلاً من النقر على الروابط في الرسائل غير المطلوبة.
- راقب تقرير الائتمان الخاص بك وأي حسابات مرتبطة بوثائق هويتك بحثاً عن نشاط جديد لا تتعرف عليه.
- فعّل خطوات تحقق إضافية على حسابك في Revolut، مثل المصادقة الثنائية، إن لم تكن قد فعلت ذلك بالفعل.
- كن متشككاً في أي تواصل لاحق يزعم أنه من Revolut أو جهة حكومية أو إنفاذ القانون ويشير إلى هذا الخرق، لأن المحتالين غالباً ما يستغلون أخبار الخروقات بمحاولات تصيّد ثانوية.
- راجع تغطية vpn.social السابقة حول انكشاف بيانات جوازات السفر والبيتكوين للاطلاع على الجدول الزمني الأكثر اكتمالاً قبل تحديد التدابير الوقائية الإضافية التي تناسب وضعك.
يُذكّرنا خرق Revolut المتعلق بالطلب الحكومي المزيف بأن حتى منصات التكنولوجيا المالية المحكمة الأمن تظل عرضة لاستغلال الثقة البشرية بدلاً من كسر الشيفرة. ويبقى البقاء متيقظاً للتواصلات الرسمية ومراقبة بياناتك الشخصية عن كثب في الأسابيع المقبلة هو الطريقة الأكثر فعالية للحد من التداعيات.
