Co faktycznie wydarzyło się w wycieku dokumentów Revolut

Gdy większość ludzi słyszy „wyciek danych”, wyobraża sobie hakerów łamiących hasła, wykorzystujących luki w oprogramowaniu czy wprowadzających ransomware do serwerów firmy. Wymuszenie danych w Revolut nie polegało na niczym z tych rzeczy. Zgodnie z doniesieniami na temat incydentu firma fintech ujawniła wrażliwe dane klientów po otrzymaniu tego, co wyglądało na legalne żądanie ze strony rządu. Nie doszło do wtargnięcia do systemów Revolut, nie było złośliwego oprogramowania ani skradzionych danych uwierzytelniających. Ktoś po prostu poprosił o informacje, posługując się fałszywym żądaniem, i je otrzymał.

To, co nastąpiło później, wyglądało mniej jak techniczne włamanie, a bardziej jak wymuszenie. Według doniesień napastnicy wystosowali żądanie okupu, grożąc stopniowym ujawnianiem skradzionych danych klientów, jeśli okup nie zostanie zapłacony. Ta taktyka stopniowego wycieku to strona żywcem wyjęta ze standardowego podręcznika ransomware – ta sama metoda nacisku, którą grupy stosują po zaszyfrowaniu plików firmy. Tyle że tutaj nie było szyfrowania, nie było ransomware ani żadnego naruszenia systemu. Dane zniknęły, zanim doszło do jakiegokolwiek „ataku” w sensie technicznym. Aby uzyskać pełniejszy opis tego, jak przebiegało fałszywe żądanie, warto bliżej zapoznać się z wyciekiem w Revolut związanym z fałszywymi żądaniami rządowymi.

Dlaczego nie pasuje to do tradycyjnej definicji cyberataku

Właśnie dlatego incydent przyciągnął uwagę branży ubezpieczeniowej. Polisy cyberubezpieczenia tradycyjnie konstruowano wokół idei nieautoryzowanego dostępu technicznego: haker przebijający się przez zabezpieczenia, złośliwe oprogramowanie wykonujące się w sieci lub wykorzystana luka. Przypadek Revolut nie spełnia żadnego z tych warunków. Nikt się nie włamał. Nikt nie wdrożył złośliwego kodu. Zamiast tego ktoś wykorzystał ludzkie zaufanie i instytucjonalne procedury, podszywając się pod organ rządowy, by przekonać pracowników Revolut do dobrowolnego przekazania danych.

To rozróżnienie ma ogromne znaczenie dla sposobu oceny roszczeń i sposobu tworzenia przyszłych polis. Jeśli żądanie okupu i skradziony zbiór danych mogą pojawić się bez wykonania choćby jednej linii złośliwego kodu, ubezpieczyciele muszą ponownie przemyśleć, co właściwie kwalifikuje się jako „cyberatak” na potrzeby ochrony. Inżynieria społeczna, podszywanie się i manipulacja procesami coraz częściej powodują takie same realne szkody jak pełnowymiarowe naruszenie sieci, tyle że bez technicznych śladów, których ubezpieczyciele historycznie poszukiwali.

Co to oznacza dla prywatności finansowej klientów fintech

Dla klientów techniczne szczegóły tego, jak ich dane zostały ujawnione, mają mniejsze znaczenie niż sam fakt, że w ogóle zostały ujawnione. Niezależnie od tego, czy firma fintech zostanie zaatakowana przez wyrafinowaną grupę hakerską, czy oszukana przekonującym fałszywym żądaniem, wynik dla jednostki jest taki sam: dane osobowe i finansowe trafiają w ręce ludzi, którzy nie mają do nich żadnego legalnego prawa, potencjalnie w połączeniu z groźbą wymuszenia dotyczącą ich ujawnienia.

Ten przypadek to przypomnienie, że prywatność finansowa nie zależy wyłącznie od silnego szyfrowania czy zapór sieciowych. Zależy także od wewnętrznych procesów, których firmy używają do weryfikacji, kto faktycznie prosi o dane, oraz od tego, jak szybko wychwycą ich awarię. Klienci na ogół nie mają wglądu w te wewnętrzne mechanizmy kontroli, co sprawia, że tego rodzaju incydenty są trudniejsze do przewidzenia i pod pewnymi względami bardziej niepokojące niż konwencjonalne włamanie. Nie istnieje żadna poprawka oprogramowania, którą klient może zainstalować, by powstrzymać kogoś innego przed daniem się oszukać fałszywym żądaniem rządowym.

Praktyczne kroki ochrony danych po nietechnicznym wycieku

Choć tego typu incydent nie wynika z technicznej luki, reakcja dla osób poszkodowanych wygląda podobnie jak w przypadku każdego innego zdarzenia związanego z ujawnieniem danych:

  • Uważnie obserwuj swoje konta pod kątem nietypowych logowań, transakcji czy prób resetowania hasła, zwłaszcza na koncie fintech, którego to dotyczy, oraz wszelkich powiązanych usługach finansowych.
  • Podchodź sceptycznie do nieoczekiwanego kontaktu rzekomo z twojego banku, agencji rządowej lub dostawcy fintech, szczególnie jeśli nawiązuje do wycieku i prosi o „weryfikację” danych osobowych.
  • Rozważ ustawienie alertu o oszustwie lub zastrzeżenia kredytowego, jeśli w ujawnionych danych znalazły się dokumenty tożsamości lub dane finansowe.
  • Sprawdź, jakie dane osobowe faktycznie przechowują twoi dostawcy fintech i czy możesz je ograniczyć lub zaktualizować, ponieważ mniej przechowywanych danych oznacza mniejsze narażenie, jeśli coś takiego zdarzy się ponownie.
  • Śledź oficjalne komunikaty bezpośrednio od firmy, a nie linki w e-mailach czy wiadomościach tekstowych nawiązujących do wycieku, ponieważ incydenty wymuszenia często tworzą okazje do kolejnych ataków phishingowych.

Szerszy obraz wymuszenia danych w Revolut

Wymuszenie danych w Revolut to użyteczne studium przypadku właśnie dlatego, że zaciera granicę między oszustwem a hakowaniem. Żadne systemy nie zostały naruszone, a mimo to dane klientów wciąż zostały ujawnione i wykorzystane jako narzędzie nacisku na firmę. Gdy ubezpieczyciele przerabiają swoje definicje tego, co liczy się jako incydent cybernetyczny, klientom pozostaje prostszy wniosek: metoda wycieku ma mniejsze znaczenie niż to, jak szybko go zauważysz i zareagujesz. Czujność wobec nietypowej aktywności na koncie, weryfikowanie nieoczekiwanych próśb o dane osobowe i zrozumienie, jakie dane przechowują twoi dostawcy finansowi, to najbardziej praktyczne dostępne obecnie środki ochrony, niezależnie od tego, jak przebiegnie następny wyciek.