Mi történt a Revolut adatvédelmi incidensében

A Revolut, a brit székhelyű fintech alkalmazás, amelyet milliók használnak mindennapi bankolásra, devizaváltásra és kriptovaluta-kereskedésre, megerősítette, hogy adatvédelmi incidens történt, amely a pénzügyi platformok által tárolt legérzékenyebb információk egy részét érintette. Az incidensről szóló beszámolók szerint a kiszivárgott adatok közé tartoznak az érintett ügyfelek KYC (Know Your Customer) szelfijei, útlevélszkennelések, IBAN-számok és Bitcoin-tranzakciós előzmények.

Ez az adatkombináció azért figyelemre méltó, mert jóval túlmutat a fintech incidensekhez általában társított bejelentkezési adatokon vagy részleges kártyaszámokon. A KYC-ellenőrzési fotókat és a hatósági igazolványok szkenneléseit kifejezetten az ügyfél személyazonosságának igazolására gyűjtik a pénzügyi szolgáltatásokra való regisztráció során, ami azt jelenti, hogy ezeket az adatokat nehéz, ha nem lehetetlen megváltoztatni, miután kiszivárogtak. A jelszóval ellentétben egyszerűen nem tudod visszaállítani az arcodat vagy az útlevélszámodat.

Miért olyan érzékenyek a kiszivárgott adatok

Az incidens során kiszivárgott adatok mindegyike más-más célt szolgál a bűnözők számára, és együtt szinte teljes személyazonosság-csomagot alkotnak.

Az útlevélszkennelések és szelfik felhasználhatók más platformok személyazonosság-ellenőrzési folyamatainak átlépésére, ami potenciálisan lehetővé teszi a támadók számára, hogy új fiókokat nyissanak, hitelt igényeljenek, vagy más pénzügyi intézmények KYC-ellenőrzéseit megkerüljék az áldozat személyében. Az IBAN-ok (Nemzetközi Bankszámlaszámok) olyan banki adatokat fednek fel, amelyeket social engineering támadásokkal lehet párosítani, például meggyőzve az áldozatot arról, hogy a valódi bankjával beszél. A Bitcoin-tranzakciós előzmények további kockázati réteget adnak: felfedhetik, hogy egy személy mennyi kriptovalutával rendelkezik, mikor mozgatta azt, és potenciálisan mely tárcákat irányítja, ami vonzó célponttá teszi a magas egyenlegű ügyfeleket célzott adathalászati vagy zsarolási kísérletek számára.

Amikor ez a fajta adat bűnözői fórumokon kering, ritkán marad elszigetelt. A lopott személyazonosító okmányokat és pénzügyi adatokat gyakran csomagban értékesítik tovább, majd olyan utólagos támadások táplálására használják, mint a fiókátvétel, a szintetikus személyazonosság-csalás vagy a rendkívül meggyőző adathalászati kampányok. Az FBI korábban figyelmeztetett az ilyen típusú kizsákmányolás támogatására kifejezetten kiépített bűnözői infrastruktúrára; egy gyorsfigyelmeztetés részletezte, hogyan támaszkodtak zsarolóvírus-csoportok egy bűnözői VPN-szolgáltatásra, hogy elrejtsék tevékenységüket behatolások végrehajtása és ellopott hitelesítő adatokkal való visszaélés közben. A Revolutnál történthez hasonló incidensek ugyanannak az ökoszisztémának a részét képezik, amely életben tartja ezt a bűnözői infrastruktúrát.

Mit jelent ez a számodra

Ha van Revolut-fiókod, különösen olyan, ahol útlevél vagy szelfi benyújtásával végezted el a személyazonosság-ellenőrzést, kezeld ezt az incidenst súlyos személyes biztonsági eseményként, nem csupán rutin adatszivárgási értesítésként.

A gyakorlati kockázat nem korlátozódik magára a Revolut-fiókodra. Mivel az útlevélszkennelések és szelfik máshol is felhasználhatók a megszemélyesítésedre, a kiszivárgás tovagyűrűző kockázatot teremt minden olyan szolgáltatás számára, amely hasonló személyazonosság-ellenőrzésre támaszkodik. Az IBAN- és kriptovaluta-tranzakciós adatokkal kombinálva a támadóknak elegendő anyaguk van ahhoz, hogy rendkívül személyre szabott adathalász üzeneteket készítsenek valódi számlaadatokra hivatkozva, ami sokkal meggyőzőbbé teszi a csalásokat az általános adathalász kísérleteknél.

Ez egyben emlékeztető arra is, hogy a pénzügyi adatvédelmi incidensek egyre inkább átfedésbe kerülnek a szélesebb körű kiberbűnözési trendekkel. Más közelmúltbeli események, köztük egy zsarolóvírus-támadás, amelyben a Stadler Rail megtagadta egy többmillió dolláros váltságdíj-követelés teljesítését, azt mutatják, hogy a lopott adatok, miután kijuttatták őket, gyakran nyomásgyakorló eszközzé válnak, függetlenül attól, hogy melyik iparágból származnak. A személyazonosító okmányokat és kripto-nyilvántartásokat tároló fintech platformok egyszerűen nagy értékű célpontok ebben a közegben.

Gyakorlati teendők

Ha Revolutot vagy hasonló fintech platformot használsz, fontold meg a következő lépéseket:

  • Változtasd meg azonnal a Revolut-jelszavadat, és engedélyezd a kétfaktoros hitelesítést, ha még nem tetted meg.
  • Kísérő figyelemmel a banki és kriptovaluta-számláidat ismeretlen bejelentkezési kísérletek vagy tranzakciók után.
  • Légy szkeptikus minden olyan üzenettel szemben, amely a Revolut-fiókodra, IBAN-odra vagy kriptoeszközeidre hivatkozik, még akkor is, ha a Revolut ügyfélszolgálatától érkezőnek tűnik, mert a csalók kiszivárgott adatokat használhatnak fel hitelesnek tűnni.
  • Fontold meg csalásriasztás vagy hitelzár beállítását a fő hitelintézeteknél, ha aggódsz az útlevéladataiddal elkövetett személyazonosság-lopás miatt.
  • Biztosítsd otthoni hálózatodat a lehallgatás ellen. A támadók korábban már kihasználtak feltört routereket DNS-beállítások eltérítésére, amelyek az áldozatokat hamis banki vagy ellenőrzési oldalakra irányíthatják további adatok begyűjtése céljából.

A Revolut adatvédelmi incidense éles emlékeztető arra, hogy a személyazonosító okmányok és a pénzügyi előzmények, miután digitalizálták és tárolták őket, olyan kockázatokat hordoznak, amelyek túlélik bármely egyszeri jelszó-visszaállítást. A szokatlan fióktevékenységre és adathalász kísérletekre való éberség a következő hetekben a leghatékonyabb módja a kár korlátozásának.