Revolut vydal data podvodníkům. Falešná žádost přišla z legitimního vládního e-mailu

Revolut potvrdil, že při incidentu poskytl neoprávněné třetí straně citlivé informace o části svých zákazníků. Firma případ označuje za sofistikovaný externí podvod založený na vydávání se za jinou instituci.

Podle Revolutu přitom nedošlo ke kompromitaci jeho systémů a zákaznické prostředky zůstaly nedotčené.

Žádost vypadala jako skutečná. A přišla ze skutečné vládní domény

Podstata incidentu je neobvyklá. Útočníci se nesnažili proniknout přímo do infrastruktury Revolutu. Místo toho zneužili komunikační kanál, kterému firma měla důvod důvěřovat.

„Neoprávněná třetí strana využila e-mail na legitimní doméně vládní instituce k podávání podvodných žádostí o informace,“ uvedl Revolut podle TechCrunch.

Podle The Record šlo o falešné emergency data requests, tedy mimořádné žádosti, kterými mohou například orgány veřejné moci požadovat technologické nebo finanční společnosti o rychlé poskytnutí informací.

Podle oznámení, které Revolut zaslal dotčeným zákazníkům, přitom nešlo pouze o jednoduché podvržení adresy odesílatele. Podvodné žádosti měly pocházet z neautorizovaného e-mailového účtu vytvořeného v doménové infrastruktuře oficiální státní instituce a zprávy nesly platnou autentizaci této domény.

To je podstatný rozdíl oproti běžnému e-mailovému spoofingu. Zpráva se pouze netvářila, že přichází z vládní domény – podle popisu Revolutu využívala účet uvnitř její legitimní infrastruktury.

Veřejně ale zatím není známo, o jaký stát ani konkrétní instituci šlo a jakým způsobem neautorizovaný účet vznikl. Nelze proto bez dalších informací tvrdit, že útočníci přímo napadli daný úřad nebo jakou technikou přístup získali.

Revolut uvádí, že po odhalení podvodu použitou e-mailovou adresu zablokoval a upozornil příslušnou státní instituci na existenci neautorizovaného účtu.

Útočníci tak neútočili primárně na technické zabezpečení Revolutu. Zneužili důvěru mezi dvěma institucemi.

Revolut po odhalení incidentu problematickou e-mailovou adresu zablokoval a podle svého vyjádření informoval příslušnou státní instituci, orgány činné v trestním řízení a relevantní regulátory.

Pasy, adresy i finanční historie

Závažnost incidentu zvyšuje charakter informací, které se mohly dostat do rukou útočníků.

Podle dosavadního reportingu a oznámení zaslaných dotčeným zákazníkům mohly poskytnuté informace zahrnovat například:

• jména a data narození,
• adresy, e-mailové adresy a telefonní čísla,
• kopie pasů nebo řidičských průkazů,
• fotografie používané při ověřování identity,
• bankovní údaje včetně IBAN,
• výpisy z účtů a informace o výběrech,
• historii transakcí,
• v některých případech také informace související s bitcoinovými transakcemi.

Jde tedy o kombinaci identifikačních, kontaktních a finančních informací, které mohou být využitelné při dalších cílených podvodech nebo krádežích identity.

Revolut zároveň uvádí, že jeho vlastní systémy kompromitovány nebyly a incident nezasáhl finanční prostředky zákazníků.

Kolika lidí se incident týká? Financial Times uvádějí 680

Revolut původně přesný rozsah incidentu veřejně nesdělil. Pro Reuters uvedl pouze, že se případ týká velmi omezeného počtu zákazníků.

Novější informace Financial Times ale uvádějí konkrétnější číslo. Revolut měl v souvislosti s incidentem kontaktovat 680 zákazníků.

Číslo je proto vhodné odlišovat od původního oficiálního vyjádření společnosti – Revolut veřejně hovořil pouze o omezeném počtu dotčených klientů, zatímco údaj o 680 lidech pochází z reportingu Financial Times.

Není v tuto chvíli veřejně potvrzeno, zda jsou mezi dotčenými zákazníky také lidé z České republiky.

V hledáčku měli být lidé spojení s kryptoměnami

Další zajímavou část příběhu přinesl The Record. Podle jeho reportingu se útočníci zaměřovali především na majetnější zákazníky, přičemž řada z nich měla vazby na kryptoměnový sektor.

Tuto část je ale nutné oddělit od informací potvrzených přímo Revolutem.

Pokud skutečně šlo o cílený výběr konkrétních osob, kombinace uniklých informací může být zvlášť problematická. Kopie dokladu totožnosti, fotografie, adresa, kontaktní údaje a informace o finanční aktivitě mohou útočníkům poskytnout velmi podrobný profil konkrétního člověka.

Taková data jsou využitelná nejen pro klasické krádeže identity, ale také pro přesvědčivější spear phishing a další formy sociálního inženýrství.

E-mail může být technicky pravý a přesto lhát

Incident zároveň ukazuje důležitý rozdíl mezi autenticitou komunikačního kanálu a autenticitou samotného požadavku.

Standardní mechanismy zabezpečení elektronické pošty mohou pomoci ověřit, že zpráva skutečně pochází z infrastruktury určité organizace. Pokud ale útočník dokáže odesílat zprávy prostřednictvím legitimní infrastruktury organizace, samotná technická autenticita zprávy už nestačí.

Příjemce totiž může dostat zprávu, která skutečně pochází z očekávané domény, ale člověk na druhé straně není tím, za koho se vydává.

Právě to dělá falešné žádosti státních institucí nebezpečné. Organizace zpracovávající citlivá data musí vedle kontroly e-mailové adresy nebo domény ověřovat také oprávněnost samotné žádosti a identitu osoby či instituce, která ji podává.

Podobný princip jsme nedávno viděli u Trezoru

Případ má zajímavou paralelu s nedávným phishingovým incidentem, který zasáhl zákazníky českého výrobce hardwarových peněženek Trezor.

Také tam útočníci využili legitimní infrastrukturu třetí strany. V případě Trezoru šlo o kompromitaci systému externího e-mailového poskytovatele Brevo, odkud následně odešel phishing z důvěryhodné infrastruktury.

Mechanismus i cíl obou incidentů se liší. Společným prvkem je ale zneužití legitimního komunikačního kanálu jako prostředku k získání důvěry oběti.

U Trezoru měl důvěryhodně vypadající e-mail přesvědčit zákazníka. V případě Revolutu měla legitimní vládní komunikace přesvědčit samotnou společnost, aby poskytla data.

Revolut hlásí incident úřadům, otázkou zůstává kontrola žádostí

Revolut uvádí, že po odhalení podvodu zablokoval použitou e-mailovou adresu a případ oznámil příslušné státní instituci, policii a regulátorům.

Incident ale zároveň otevírá otázku, jakým způsobem finanční a technologické společnosti ověřují legitimitu mimořádných žádostí státních orgánů o zákaznická data.

U podobných žádostí může být rychlost zásadní – například pokud jde o bezprostřední ohrožení života nebo probíhající trestnou činnost. Právě tlak na rychlé vyřízení ale může zároveň vytvářet prostor, který se útočníci snaží zneužít.

V případě Revolutu se jim podle dosavadních informací podařilo obejít bezpečnostní bariéru, která nebyla tvořena firewallem nebo přihlašovacím heslem.

Tou bariérou byl proces rozhodující o tom, komu lze důvěřovat natolik, aby dostal citlivá data zákazníků.

Zdroje

• The Record – Revolut customer data exposed through fraudulent government requests
• Reuters – Revolut confirms sensitive customer data breach after fake government requests
• Financial Times – Revolut handed nearly 700 customers' data to scammers
• TechCrunch – Revolut confirms customer data breach through fake government requests