Điều gì đã xảy ra trong vụ rò rỉ dữ liệu Revolut
Revolut đã xác nhận rằng một kẻ lừa đảo giả danh cơ quan chính phủ đã thuyết phục được công ty fintech này giao nộp hồ sơ khách hàng nhạy cảm. Theo các báo cáo về sự việc, kẻ tấn công đã sử dụng một tên miền email chính phủ hợp pháp để gửi thứ trông như một yêu cầu dữ liệu chính thức, và hệ thống của Revolut đã phản hồi như thể đó là yêu cầu thật. Gần 700 khách hàng bị ảnh hưởng, và dữ liệu bị giao nộp được cho là bao gồm thông tin hộ chiếu, ảnh selfie, địa chỉ nhà và email, số điện thoại, ngày sinh, và trong một số trường hợp là thông tin tài khoản ngân hàng cùng lịch sử giao dịch, bao gồm cả hoạt động bitcoin.
Không có mã độc nào tham gia và không có lỗ hổng phần mềm nào bị khai thác. Vụ vi phạm xảy ra vì một kênh liên lạc đáng tin cậy — một địa chỉ email chính phủ trông có vẻ chính thức — đã bị lạm dụng để yêu cầu thông tin mà một người kiểm duyệt đã phê duyệt. Đây là thất bại về quy trình cũng như là thất bại về kỹ thuật, và đáng để đọc báo cáo trước đó của chúng tôi về email chính phủ giả mạo khởi nguồn cho vụ vi phạm này để biết thêm chi tiết về cách màn giả danh này diễn ra.
Vì sao vụ vi phạm này khác biệt: Danh tính, vị trí và tiền bạc trong cùng một hồ sơ
Hầu hết các thông báo vi phạm liệt kê các loại dữ liệu bị lộ dưới dạng gạch đầu dòng: tên, email, số điện thoại, địa chỉ. Xét riêng lẻ, mỗi mục có vẻ có thể kiểm soát được. Nhưng khi một thông báo duy nhất gộp chung một giấy tờ tùy thân đã được xác minh, một bức ảnh, địa chỉ nhà, thông tin tài khoản tài chính và lịch sử giao dịch của cùng một người, nó không còn trông như một danh sách nữa mà bắt đầu trông như một hồ sơ mật.
Sự kết hợp đó quan trọng vì nó loại bỏ bước phỏng đoán thường bảo vệ mọi người khỏi những vụ lừa đảo thuyết phục. Một tội phạm đã biết tên hợp pháp, khuôn mặt, địa chỉ và số dư ngân hàng của bạn thì không cần phải lừa đảo để lấy lại những thông tin đó nữa. Họ có thể dùng chúng để nghe có vẻ đáng tin trong một cuộc gọi điện thoại, để vượt qua các bước kiểm tra danh tính tại các tổ chức khác, hoặc để tạo ra một tin nhắn nhắm mục tiêu đề cập đến những chi tiết thật về tài chính của bạn. Đây là điều khiến sự việc Revolut trở nên đáng chú ý trong số các vụ vi phạm fintech gần đây: đây không chỉ là rò rỉ thông tin liên lạc, mà là rò rỉ chính xác những điểm dữ liệu được dùng để xác minh bạn là ai.
Điều này có nghĩa gì với bạn
Nếu bạn là khách hàng của Revolut, hoặc khách hàng của bất kỳ ứng dụng tài chính nào, rủi ro thực tế từ kiểu rò rỉ dữ liệu Revolut này không phải là tài khoản của bạn sẽ bị rút sạch vào ngày mai. Mà là dữ liệu bị đánh cắp sẽ xuất hiện trở lại sau này, trong một email lừa đảo ghi đúng tên và địa chỉ của bạn, trong một cuộc gọi từ kẻ tự xưng là ngân hàng của bạn và đã biết số dư của bạn, hoặc trong một nỗ lực mở tài khoản hay SIM mới dưới tên bạn.
Không VPN, trình quản lý mật khẩu hay công cụ bảo mật nào có thể hoàn tác một sự lộ lọt đã xảy ra. Một khi một công ty đã giao nộp bản scan hộ chiếu và thông tin tài chính của bạn cho kẻ tấn công, dữ liệu đó nằm ngoài tầm kiểm soát của bạn bất kể bạn thực hành thói quen bảo mật nào sau đó. Những công cụ này có thể làm là giảm mức độ phơi bày của bạn trong tương lai: hạn chế lượng dữ liệu cá nhân bạn chia sẻ với bất kỳ dịch vụ nào, khiến kẻ tấn công khó liên kết hoạt động trực tuyến của bạn với danh tính thật của bạn hơn, và giảm số lượng nơi mà một sai lầm tương tự có thể khiến bạn bị lộ lần nữa.
Các bước hành động để bảo vệ bản thân ngay bây giờ
Nếu bạn tin rằng dữ liệu của mình có thể đã nằm trong vụ vi phạm này, hoặc bạn chỉ đơn giản muốn chuẩn bị sẵn sàng, một vài bước cụ thể sẽ tạo ra khác biệt thực sự:
- Liên hệ ngân hàng của bạn về bảo vệ chống SIM-swap. Vì kẻ tấn công có tên, địa chỉ và số điện thoại của bạn có thể cố chiếm đoạt số điện thoại di động của bạn, hãy hỏi nhà mạng về việc thêm mã PIN hoặc khóa để ngăn chuyển SIM trái phép.
- Thiết lập giám sát tín dụng hoặc cảnh báo gian lận. Với dữ liệu hộ chiếu và danh tính đang lưu hành, việc giám sát hồ sơ tín dụng giúp phát hiện các tài khoản mới mở dưới tên bạn trước khi chúng gây thiệt hại lâu dài.
- Hãy hoài nghi với bất kỳ liên hệ nào đề cập đến thông tin tài chính của bạn. Một người gọi điện hay gửi email biết số dư hoặc lịch sử giao dịch của bạn không tự động là hợp pháp. Hãy xác minh qua các kênh chính thức trước khi phản hồi.
- Đổi mật khẩu và bật xác thực đa yếu tố trên tài khoản Revolut của bạn và bất kỳ dịch vụ tài chính liên kết nào, dù vụ vi phạm này không do mật khẩu bị đánh cắp.
- Cảnh giác với các nỗ lực lừa đảo tiếp theo sử dụng thông tin đã rò rỉ để trông có vẻ đáng tin. Kẻ lừa đảo thường chờ vài tuần hoặc vài tháng trước khi sử dụng dữ liệu bị vi phạm, vì vậy sự cảnh giác bây giờ cần tiếp tục theo thời gian.
Hướng tới tương lai
Vụ rò rỉ dữ liệu Revolut là lời nhắc nhở rằng các hệ thống xác minh danh tính, chứ không chỉ mật khẩu, giờ đây là mục tiêu chính của kẻ tấn công. Thuyết phục chính quy trình của một công ty giao nộp dữ liệu có thể hiệu quả hơn bất kỳ cuộc tấn công hack nào. Với người dùng thông thường, bài học không phải là hoảng loạn mà là chuẩn bị: khóa chặt những tài khoản bạn kiểm soát, giám sát các dấu hiệu bị lạm dụng, và đối xử với những liên hệ không mong muốn đề cập đến thông tin tài chính của bạn với sự thận trọng đặc biệt. Luôn cập nhật thông tin về cách những vụ vi phạm này diễn ra là bước đầu tiên để hạn chế thiệt hại mà vụ tiếp theo có thể gây ra.
