Новий витік даних Revolut викликає незручні запитання про те, як легко конфіденційні фінансові дані можуть вийти за двері — без шкідливого програмного забезпечення, без використаної вразливості в програмі та без зламаного пароля...

Витік даних Revolut: шахрайство, яке не потребувало жодного зламу

Новий витік даних Revolut викликає незручні запитання про те, як легко конфіденційні фінансові дані можуть вийти за двері — без шкідливого програмного забезпечення, без використаної вразливості в програмі та без зламаного пароля. Згідно зі звітом, узагальненим Help Net Security, фінтех-компанія передала паспорти клієнтів, селфі для верифікації особи та історії біткоїн-транзакцій шахраю, який просто попросив їх, використовуючи адресу електронної пошти на справжньому урядовому домені.

Інцидент підкреслює зростаючу реальність у фінансовій кібербезпеці: зловмисникам не завжди потрібно зламувати систему, коли вони можуть переконливо вдавати, що належать до неї. Для клієнтів Revolut і для всіх, хто користується фінтех- або криптоплатформою, яка збирає документи, що посвідчують особу, цей витік є нагадуванням, що найслабшою ланкою часто є рішення людини, а не брандмауер.

Як працювало шахрайство

На відміну від багатьох витоків, які домінують у заголовках, цей не включав викрадених облікових даних, проданих на форумі даркнету, або вразливості, яку тихо експлуатували місяцями. Натомість зловмисник видавав себе за урядову агенцію, надсилаючи запити з того, що виглядало як легітимний урядовий домен електронної пошти. Revolut, вважаючи запит справжнім, відповіла, розкривши записи клієнтів.

Згідно з повідомленнями, передані дані включали надзвичайно конфіденційний матеріал: видані урядом документи, що посвідчують особу, селфі для верифікації, які зазвичай використовуються для перевірок «знай свого клієнта» (KYC), та записи про активність клієнтів у біткоїн-транзакціях. Ця комбінація документів, що посвідчують особу, та історії фінансових транзакцій особливо цінна для шахраїв, оскільки її можна використати для видавання себе за жертв, обходу перевірок особи на інших платформах або прямої атаки на власників криптовалют.

Це не перший випадок, коли Revolut стикається з несанкціонованим розкриттям даних. Компанія раніше повідомляла про витік, який торкнувся десятків тисяч клієнтів — нагадування про те, що фінтех-платформи, які обробляють великі обсяги конфіденційних персональних і фінансових даних, залишаються постійними цілями, чи то через технічні експлойти, чи то через соціальну інженерію.

Чому криптодані роблять цей витік гіршим

Що відрізняє цей інцидент від типового витоку даних, так це включення історій біткоїн-транзакцій разом із документами, що посвідчують особу. Це поєднання особливо небезпечне, оскільки дає злочинцям і «хто», і «що»: підтверджену особу плюс запис про активність у криптовалюті, який можна використати для цільового фішингу, вимагання або спроб захоплення акаунтів на інших платформах.

Це закономірність, яка спостерігається і в інших частинах криптоекосистеми. У витоку даних SafePal інформація десятків тисяч клієнтів була розкрита таким чином, що наражала власників криптогаманців на прямий ризик. Подібним чином, витік податкових даних у Франції, який загрожував власникам криптовалют, показав, як фінансові дані та дані, що посвідчують особу, об’єднавшись, стають дорожньою картою для зловмисників, які прагнуть викрасти цифрові активи. Коли документи для верифікації особи розкриваються разом із записами транзакцій, жертви стикаються з ризиками, які виходять далеко за межі простого фішингового листа.

Що це означає для вас

Якщо ви клієнт Revolut або користувач будь-якої фінтех-платформи, яка збирає документи, що посвідчують особу, для верифікації, цей витік — гарна нагода переоцінити свою вразливість. Ви не можете контролювати, як компанія реагує на шахрайський урядовий запит, але ви можете контролювати, як швидко ви відреагуєте, якщо ваші дані постраждають від подібного інциденту.

Почніть із перевірки, чи Revolut зв’язалася з вами напряму щодо цього витоку. Компанії зазвичай зобов’язані повідомляти постраждалих клієнтів, коли розкриваються документи, що посвідчують особу, або фінансові дані. Якщо ви отримаєте таке повідомлення, поставтеся до нього серйозно, навіть якщо витік не включав технічного зламу в традиційному розумінні. Розкриті паспорти та селфі можна використати для шахрайства з особою незалежно від того, як їх отримали.

Будьте уважні до незвичних спроб входу, несподіваних листів про скидання пароля або запитів на верифікацію акаунта, які посилаються на особисті дані, які, за вашими очікуваннями, має знати лише Revolut. Шахраї, які отримують документи, що посвідчують особу, та історії транзакцій, часто використовують їх, щоб подальші фішингові спроби виглядали правдоподібніше. Масштаб такого розкриття не є безпрецедентним; такі інциденти, як витік BlaBlaCar, що торкнувся 140 мільйонів записів користувачів, показують, як зловмисники дедалі більше покладаються на дані, зібрані з кількох джерел, щоб створювати переконливі цільові шахрайства.

Практичні висновки

Якщо ви користуєтеся Revolut або подібним фінтех-сервісом, розгляньте ці кроки:

• Слідкуйте за офіційним повідомленням від Revolut, яке підтверджує, чи постраждав ваш акаунт, і уникайте натискання посилань у небажаних листах, які нібито надіслані компанією.
• Увімкніть багатофакторну автентифікацію на своєму акаунті, якщо ви ще цього не зробили, оскільки розкриті документи, що посвідчують особу, можна використати для спроб відновлення акаунта в інших місцях.
• Стежте за своїми криптогаманцями та пов’язаними акаунтами на предмет незвичної активності, особливо якщо ваша історія біткоїн-транзакцій була частиною розкритих даних.
• Розгляньте можливість встановлення попередження про шахрайство або позначки кредитного моніторингу, якщо ваш виданий урядом документ, що посвідчує особу, був серед скомпрометованих документів.

Витік даних Revolut підкреслює просту, але важливу істину: сильний технічний захист може бути підірваний одним переконливим листом. У міру появи нових деталей, залишатися поінформованим і швидко реагувати на будь-які повідомлення про витік залишається найкращим способом обмежити шкоду від подібних інцидентів.

FAQ: Q1: Які дані клієнтів були розкриті у витоку даних Revolut? A1: Згідно з повідомленнями, передані дані включали видані урядом документи, що посвідчують особу, селфі для верифікації, які використовуються для перевірок KYC, та записи про активність клієнтів у біткоїн-транзакціях. Q2: Як шахрай змусив Revolut передати записи клієнтів? A2: Зловмисник видавав себе за урядову агенцію, надсилаючи запити з того, що виглядало як легітимний урядовий домен електронної пошти, і Revolut розкрила записи клієнтів, оскільки вважала запит справжнім. Q3: Чи включав витік злам, шкідливе програмне забезпечення або викрадені паролі? A3: Ні, у статті зазначено, що шахрайство не потребувало шкідливого програмного забезпечення, використаної вразливості в програмі або зламаного пароля; шахрай просто попросив дані. Q4: Чому розкриття історій біткоїн-транзакцій особливо небезпечне? A4: Воно дає злочинцям і підтверджену особу, і запис про активність у криптовалюті, які можна використати для цільового фішингу, вимагання або спроб захоплення акаунтів на інших платформах. Q5: Чи зазнавала Revolut несанкціонованого розкриття даних раніше? A5: Так, у статті зазначено, що Revolut раніше повідомляла про витік, який торкнувся десятків тисяч клієнтів.

---END---