Що насправді сталося під час витоку документів у Revolut
Коли більшість людей чує «витік даних», вони уявляють хакерів, які зламують паролі, використовують вразливості програмного забезпечення або впроваджують програми-вимагачі на сервери компанії. Витік даних із вимаганням у Revolut не включав нічого з цього. Згідно з повідомленнями про інцидент, фінтех-компанія розкрила конфіденційні дані клієнтів після отримання запиту, який виглядав як законний урядовий запит. Не було жодного вторгнення в системи Revolut, жодного шкідливого програмного забезпечення та жодних викрадених облікових даних. Хтось просто попросив інформацію, використовуючи шахрайський запит, і отримав її.
Те, що сталося далі, менше скидалося на технічний злам і більше — на вимагання. За повідомленнями, зловмисники висунули вимогу про викуп, погрожуючи поетапно оприлюднити викрадені дані клієнтів, якщо викуп не буде сплачено. Ця тактика поетапного витоку — це сторінка прямо зі стандартного посібника з програм-вимагачів, той самий метод тиску, який групи застосовують після шифрування файлів компанії. Однак тут не було ні шифрування, ні програм-вимагачів, ні компрометації системи взагалі. Дані зникли ще до того, як сталася будь-яка «атака» в технічному сенсі. Для повнішого викладу того, як розгортався шахрайський запит, варто уважніше прочитати про витік у Revolut, пов'язаний із підробленими урядовими запитами.
Чому це не відповідає традиційному визначенню кібератаки
Саме тому цей інцидент привернув увагу страхової галузі. Поліси кіберстрахування традиційно складалися навколо ідеї несанкціонованого технічного доступу: хакер долає захист, шкідливе програмне забезпечення виконується в мережі або використовується вразливість. Справа Revolut не відповідає жодному з цих пунктів. Ніхто не зламував систему. Ніхто не розгортав шкідливий код. Натомість хтось скористався людською довірою та інституційними процесами, видаючи себе за урядовий орган, щоб переконати співробітників Revolut добровільно передати дані.
Ця відмінність має величезне значення для того, як оцінюються страхові вимоги та як писатимуться майбутні поліси. Якщо вимога про викуп і викрадений набір даних можуть з'явитися без виконання жодного рядка шкідливого коду, то страховики мають переглянути, що насправді кваліфікується як «кібератака» для цілей покриття. Соціальна інженерія, видавання себе за інших та маніпулювання процесами дедалі частіше завдають такої ж реальної шкоди, як і повноцінний злам мережі, просто без технічних слідів, які страховики historically шукали.
Що це означає для фінансової приватності клієнтів фінтех-компаній
Для клієнтів технічні деталі того, як були розкриті їхні дані, мають менше значення, ніж сам факт їх розкриття. Чи зазнає фінтех-компанія зламу від витонченої хакерської групи, чи її обманюють переконливим підробленим запитом — результат для окремої людини однаковий: особиста та фінансова інформація потрапляє до рук людей, які не мають на неї жодного законного права, і потенційно супроводжується погрозою вимагання щодо її оприлюднення.
Цей випадок нагадує, що фінансова приватність залежить не лише від надійного шифрування чи брандмауерів. Вона також залежить від внутрішніх процесів, які компанії використовують для перевірки того, хто насправді запитує дані, і від того, як швидко вони виявляють збій цих процесів. Клієнти зазвичай не мають видимості щодо цих внутрішніх засобів контролю, що робить такий інцидент важче передбачити і, певною мірою, більш тривожним, ніж звичайний злам. Не існує програмного патча, який клієнт може встановити, щоб запобігти тому, щоб когось іншого обдурили шахрайським урядовим запитом.
Практичні кроки для захисту ваших даних після нетехнічного витоку
Хоча цей тип інциденту не походить від технічної вразливості, реакція для постраждалих осіб виглядає подібно до будь-якої іншої події розкриття даних:
- Уважно стежте за своїми рахунками на предмет незвичних входів, транзакцій або спроб скидання пароля, особливо на задіяному фінтех-рахунку та будь-яких пов'язаних фінансових сервісах.
- Ставтеся зі скепсисом до несподіваних звернень, які нібито надходять від вашого банку, урядового органу чи фінтех-провайдера, особливо якщо вони згадують витік і просять вас «підтвердити» особисті дані.
- Розгляньте можливість встановлення попередження про шахрайство або заморожування кредиту, якщо документи, що посвідчують особу, або фінансові дані були частиною розкритої інформації.
- Перегляньте, які саме особисті дані фактично зберігають ваші фінтех-провайдери та чи можете ви їх обмежити або оновити, оскільки менше збережених даних означає менший ризик, якщо щось подібне станеться знову.
- Дотримуйтеся офіційних повідомлень безпосередньо від компанії, а не посилань в електронних листах чи SMS, що згадують витік, оскільки інциденти з вимаганням часто створюють можливості для подальшого фішингу.
Ширша картина витоку даних із вимаганням у Revolut
Витік даних із вимаганням у Revolut є корисним прикладом саме тому, що він розмиває межу між шахрайством і зламом. Жодні системи не були скомпрометовані, але дані клієнтів все одно опинилися розкритими й використовувалися як важіль тиску на компанію. Поки страховики переглядають свої визначення того, що вважається кіберінцидентом, у клієнтів залишається простіший висновок: метод витоку має менше значення, ніж те, як швидко ви його помітите та відреагуєте. Пильність до незвичної активності на рахунках, перевірка несподіваних запитів на особисту інформацію та розуміння того, які дані зберігають ваші фінансові провайдери, є найпрактичнішими доступними засобами захисту на сьогодні, незалежно від того, як станеться наступний витік.
