Что на самом деле произошло в результате утечки документов Revolut

Когда большинство людей слышат «утечка данных», они представляют себе хакеров, взламывающих пароли, эксплуатирующих программные уязвимости или внедряющих программы-вымогатели на серверы компании. Утечка данных Revolut с вымогательством не включала ничего из этого. Согласно сообщениям об инциденте, финтех-компания раскрыла конфиденциальные данные клиентов после получения того, что выглядело как законный правительственный запрос. Не было ни проникновения в системы Revolut, ни вредоносного ПО, ни украденных учётных данных. Кто-то просто запросил информацию, использовав мошеннический запрос, и получил её.

То, что последовало, было меньше похоже на технический взлом и больше на вымогательство. По сообщениям, злоумышленники выдвинули требование о выкупе, угрожая поэтапно публиковать украденные данные клиентов, если выкуп не будет выплачен. Эта тактика поэтапной утечки взята прямо из стандартной книги сценариев программ-вымогателей — тот же метод давления, который группировки используют после шифрования файлов компании. Вот только здесь не было ни шифрования, ни программ-вымогателей, ни компрометации систем. Данные исчезли ещё до того, как произошла какая-либо «атака» в техническом смысле. Для более полного описания того, как разворачивался мошеннический запрос, стоит внимательнее прочитать о взломе Revolut с использованием поддельных правительственных запросов.

Почему это не вписывается в традиционное определение кибератаки

Именно поэтому инцидент привлёк внимание страховой отрасли. Политики киберстрахования традиционно строились вокруг идеи несанкционированного технического доступа: хакер, пробивающий защиту, вредоносное ПО, выполняющееся в сети, или эксплуатируемая уязвимость. Случай Revolut не соответствует ни одному из этих пунктов. Никто не взламывал системы. Никто не разворачивал вредоносный код. Вместо этого кто-то воспользовался человеческим доверием и институциональными процессами, выдав себя за государственный орган, чтобы убедить сотрудников Revolut добровольно передать данные.

Это различие имеет огромное значение для того, как оцениваются страховые требования и как будут составляться будущие полисы. Если требование о выкупе и украденный набор данных могут появиться без единой строки выполненного вредоносного кода, то страховщикам придётся пересмотреть, что на самом деле qualifies как «кибератака» для целей покрытия. Социальная инженерия, выдача себя за других и манипуляция процессами всё чаще причиняют тот же реальный ущерб, что и полномасштабная сетевая утечка, только без технических следов, которые страховщики исторически искали.

Что это значит для финансовой приватности клиентов финтех-компаний

Для клиентов технические детали того, как их данные были раскрыты, значат меньше, чем сам факт их раскрытия. Независимо от того, подверглась ли финтех-компания атаке изощрённой хакерской группировки или была обманута убедительным поддельным запросом, результат для отдельного человека один и тот же: личная и финансовая информация оказывается в руках людей, не имеющих на неё законного права, и это потенциально сопровождается угрозой вымогательства по поводу её публикации.

Этот случай напоминает, что финансовая приватность зависит не только от надёжного шифрования или межсетевых экранов. Она также зависит от внутренних процессов, которые компании используют для проверки того, кто на самом деле запрашивает данные, и от того, как быстро они обнаруживают сбой этих процессов. Клиенты, как правило, не имеют представления об этих внутренних механизмах контроля, что делает подобные инциденты труднее предсказуемыми и в некотором смысле более тревожными, чем обычный взлом. Не существует программного патча, который клиент может установить, чтобы предотвратить обман кого-то другого мошенническим правительственным запросом.

Практические шаги для защиты данных после нетехнической утечки

Хотя этот тип инцидента не проистекает из технической уязвимости, реакция для затронутых лиц выглядит аналогично любому другому случаю раскрытия данных:

  • Внимательно следите за своими счетами на предмет необычных входов, транзакций или попыток сброса пароля, особенно по затронутому финтех-счёту и любым связанным финансовым сервисам.
  • Скептически относитесь к неожиданным обращениям, выдающим себя за ваш банк, государственный орган или финтех-провайдера, особенно если в них упоминается утечка и вас просят «подтвердить» личные данные.
  • Рассмотрите возможность установки предупреждения о мошенничестве или заморозки кредита, если в раскрытых данных были документы, удостоверяющие личность, или финансовые сведения.
  • Проверьте, какие персональные данные ваши финтех-провайдеры действительно хранят и можете ли вы их ограничить или обновить, поскольку меньше хранимых данных означает меньше риска, если нечто подобное произойдёт снова.
  • Следуйте официальным сообщениям компании напрямую, а не по ссылкам в электронных письмах или сообщениях, упоминающих утечку, поскольку инциденты с вымогательством часто создают возможности для последующего фишинга.

Более широкая картина утечки данных Revolut с вымогательством

Утечка данных Revolut с вымогательством — полезный пример именно потому, что она размывает границу между мошенничеством и взломом. Ни одна система не была скомпрометирована, но данные клиентов всё равно оказались раскрыты и использовались как рычаг давления на компанию. Пока страховщики пересматривают свои определения того, что считается киберинцидентом, у клиентов остаётся более простой вывод: метод утечки значит меньше, чем то, как быстро вы её заметите и отреагируете. Бдительность к необычной активности на счетах, проверка неожиданных запросов личной информации и понимание того, какие данные хранят ваши финансовые провайдеры, — это наиболее практичные средства защиты, доступные прямо сейчас, независимо от того, как произойдёт следующая утечка.