Naruszenie danych Revolut: Jak badacze wytropili stronę wymuszenia

Strona wymuszenia w naruszeniu danych Revolut zdemaskowana przez badaczy

Konsekwencje naruszenia danych Revolut przybrały nowy obrót, gdy firma zajmująca się analizą zagrożeń KELA opublikowała badania tropiące stronę wymuszenia używaną do wywierania presji na firmę fintech, by zapłaciła atakującym. Zgodnie z ustaleniami KELA strona była hostowana na darmowej publicznej infrastrukturze i została złożona w zaledwie 6,5 godziny. Co jeszcze bardziej godne uwagi: pliki, które atakujący uważali, że usunęli, wciąż można było odzyskać dzięki publicznej historii commitów strony — szczegół, który daje obrońcom i badaczom rzadki wgląd w mechanikę nowoczesnej kampanii wymuszenia.

To odkrycie ma znaczenie, ponieważ pokazuje, że przestępcy stojący za incydentem Revolut nie zbudowali wyrafinowanej, zabezpieczonej operacji. Zamiast tego oparli się na szybkich, darmowych narzędziach, zostawiając przy tym ślad, który badacze mogli prześledzić. Dla naruszenia, które już wzbudziło zainteresowanie ze względu na to, jak atakujący zdobyli dane klientów, ten drugi rozdział oferuje wgląd w to, jak improwizowana i odsłonięta może być infrastruktura wymuszenia.

Jak zbudowano i wytropiono stronę wymuszenia

Analiza KELA wykazała, że strona wymuszenia nie znajdowała się na dedykowanych serwerach ani wyspecjalizowanej infrastrukturze dark webu. Działała na darmowej, publicznie dostępnej usłudze hostingowej, takiej, na jaką każdy może się zapisać w kilka minut. Szybkość wdrożenia, zaledwie 6,5 godziny od początku do końca, sugeruje, że atakujący priorytetowo potraktowali szybkie wywarcie presji na Revolut, a nie staranne zacieranie śladów.

Ten pośpiech stworzył szansę. Ponieważ strona opierała się na publicznej historii commitów (zapisie zmian wprowadzanych do kodu źródłowego lub treści strony), badacze mogli cofnąć się do wersji strony, które atakujący próbowali usunąć. Pliki usunięte z działającej strony nie zniknęły w rzeczywistości; pozostały widoczne w dziennikach historii, dając KELA wgląd w to, jak ewoluowała strona wymuszenia i jakie treści atakujący pierwotnie zamieścili, zanim je usunęli.

Tego rodzaju błąd w bezpieczeństwie operacyjnym nie jest nietypowy w cyberprzestępczości. Szybkie i tanie budowanie infrastruktury jest często priorytetem dla grup stosujących wymuszenia, które chcą uderzyć, gdy naruszenie jest jeszcze świeżym tematem, ale ta szybkość często wiąże się z pozostawieniem cyfrowych odcisków palców.

Powiązanie strony wymuszenia z pierwotnym naruszeniem

Strona wymuszenia nie pojawiła się znikąd. Nastąpiła po ujawnieniu przez Revolut, że wrażliwe dane klientów zostały ujawnione, gdy firma została oszukana przez fałszywe żądanie rządowe, w wyniku czego paszporty i dane osobowe trafiły w ręce nieupoważnionej strony trzeciej. Ten wcześniejszy incydent stworzył grunt pod próbę wymuszenia: gdy atakujący mieli już dane klientów, przystąpili do budowy strony nacisku mającej wymusić wypłatę od Revolut.

Ta sekwencja — sztuczka inżynierii społecznej, po której następuje ujawnienie danych, a potem wymuszenie — odzwierciedla powszechny wzorzec w cyberprzestępczości motywowanej finansowo. Atakujący rzadko potrzebują wysoce zaawansowanych narzędzi, by odnieść sukces. Przekonujące fałszywe żądanie wystarczyło, by wydano wrażliwe dane, a kilka godzin na darmowym hostingu wystarczyło, by następnie rozpocząć publiczną kampanię nacisku.

Co to oznacza dla Ciebie

Jeśli jesteś klientem Revolut, praktyczne ryzyko związane z tą konkretną stroną wymuszenia dotyczy mniej szczegółów hostingu, a bardziej tego, jakie dane mogły się na niej znaleźć. Strony wymuszenia powiązane z takimi naruszeniami często odwołują się do skradzionych informacji lub je pokazują, w tym numery paszportów i dane kont, jako dźwignię. Fakt, że badacze mogli odzyskać usunięte pliki z historii strony, oznacza również, że treści, które atakujący próbowali ukryć — potencjalnie w tym próbki wyciekłych danych — mogą wciąż być udokumentowane i analizowane przez badaczy bezpieczeństwa.

Dla zwykłych użytkowników wzmacnia to szerszą lekcję płynącą z naruszenia danych Revolut: początkowe przełamanie zabezpieczeń nastąpiło nie przez techniczny atak na systemy Revolut, lecz przez oszustwo. Oznacza to, że zwykłe rady dotyczące monitorowania kont, uważania na próby phishingu odwołujące się do tego naruszenia i ostrożności wobec niezamówionych próśb o dane osobowe są szczególnie istotne właśnie teraz. Atakujący, którym raz udało się podszyć pod władze, mogą ponownie wypróbować podobne taktyki, czy to przeciwko Revolut, czy bezpośrednio przeciwko jego klientom.

Praktyczne wnioski

Jeśli korzystasz z Revolut lub zostałeś dotknięty tym naruszeniem, rozważ następujące kroki:

• Uważnie obserwuj swoje konto Revolut i powiązane konta bankowe pod kątem nietypowej aktywności w nadchodzących tygodniach.
• Podchodź sceptycznie do wszelkiej komunikacji, zwłaszcza wiadomości brzmiących pilnie, które twierdzą, że pochodzą od Revolut, agencji rządowych lub organów ścigania i odwołują się do tego incydentu.
• Jeśli Twój paszport lub dokumenty tożsamości znalazły się wśród danych ujawnionych we wcześniejszym ujawnieniu, rozważ monitorowanie pod kątem kradzieży tożsamości i bądź ostrożny przy udostępnianiu kopii dokumentów tożsamości, chyba że jest to absolutnie konieczne.
• Śledź aktualizacje bezpośrednio od Revolut, zamiast polegać na linkach lub plikach krążących w związku ze stroną wymuszenia, ponieważ badacze wykazali, że treści na tych stronach mogą być manipulowane i pojawiać się ponownie nawet po usunięciu.

Naruszenie danych Revolut i jego następstwa związane z wymuszeniem pokazują, że nawet atakujący z funkcjonującymi operacjami przestępczymi mogą popełniać podstawowe błędy, które badacze mogą wykorzystać. Dla klientów pozostanie czujnym i ostrożnym pozostaje najlepszą obroną, podczas gdy pełniejszy obraz tego incydentu wciąż się wyłania.