Ένα σοβαρό περιστατικό παραβίασης δεδομένων στη Revolut αποκάλυψε η βρετανική εφημερίδα Financial Times, σύμφωνα με την οποία χάκερ απειλούν να πουλήσουν εμπιστευτικά αρχεία εκατοντάδων πελατών της τράπεζας. Η ομάδα που αυτοαποκαλείται «iamnotavillain» ζητά λύτρα ύψους 3 εκατομμυρίων δολαρίων εντός 24 ωρών, διαφορετικά απειλεί να διοχετεύσει τα στοιχεία σε άλλες εγκληματικές οργανώσεις. Το τελεσίγραφο δημοσιεύτηκε το απόγευμα της Τετάρτης στον ιστότοπο της ομάδας, συνοδευόμενο από ψηφιακό ρολόι αντίστροφης μέτρησης. Σύμφωνα με την αρχική έρευνα, η παραβίαση δεδομένων στη Revolut επηρέασε 680 πελάτες.
Πώς έγινε η παραβίαση δεδομένων στη Revolut
Σύμφωνα με τους Financial Times, οι χάκερ απέκτησαν πρόσβαση στα αρχεία αφού παραβίασαν σύστημα ηλεκτρονικού ταχυδρομείου της ιταλικής κυβέρνησης. Μέσω του παραβιασμένου λογαριασμού εμφανίστηκαν ως κρατικοί αξιωματούχοι και επί αρκετούς μήνες ζητούσαν από τη Revolut πληροφορίες για συγκεκριμένους λογαριασμούς πελατών, προσποιούμενοι ότι επρόκειτο για αιτήματα αρχών επιβολής του νόμου. Με αυτόν τον τρόπο κατάφεραν να αποσπάσουν διευθύνσεις κατοικίας, φωτογραφίες επαλήθευσης ταυτότητας, άδειες οδήγησης, διαβατήρια και έγγραφα που είχαν χρησιμοποιηθεί στη διαδικασία «Know Your Customer» (KYC), καθώς και ιστορικά συναλλαγών και στοιχεία σχετικά με δραστηριότητα σε bitcoin.
Η ομάδα δήλωσε στους Financial Times, μέσω Telegram, ότι επέλεγε τους στόχους της αναλύοντας το blockchain, με σκοπό να εντοπίσει λογαριασμούς της Revolut με σημαντικά αποθέματα κρυπτονομισμάτων. Στο διαδικτυακό μήνυμα με το οποίο απείλησαν την τράπεζα, οι χάκερ έγραψαν ότι απαιτούν «6.000 XMR / 3.000.000 δολάρια», διαφορετικά «όλα τα δεδομένα θα πουληθούν και το αίμα θα είναι στα χέρια σας». Το XMR αντιστοιχεί στο κρυπτονόμισμα Monero, το οποίο προτιμούν συχνά οι χάκερ επειδή οι συναλλαγές του είναι δύσκολο να εντοπιστούν. Λίγο μετά τη δημοσίευση της απαίτησης, οι δράστες έστειλαν στην εφημερίδα ένα βίντεο καταγραφής οθόνης διάρκειας 60 δευτερολέπτων, στο οποίο ένας μη αναγνωρίσιμος χρήστης φαινόταν να περιηγείται σε αρχεία που υποτίθεται ότι προέρχονταν από τη Revolut.
Η δημόσια διατύπωση της απαίτησης λύτρων θεωρείται ασυνήθιστη τακτική, καθώς οι χάκερ προτιμούν συνήθως να απευθύνουν τα αιτήματά τους ιδιωτικά. Στις περισσότερες περιπτώσεις, οι επιθέσεις δημοσιοποιούνται μόνο όταν ο στόχος αρνηθεί να πληρώσει ή να διαπραγματευτεί, με τις λεπτομέρειες να αναρτώνται σε ιστοσελίδες διαρροών στο dark web. Η ομάδα «iamnotavillain» ανέφερε στους Financial Times ότι χρησιμοποιεί για πρώτη φορά τη συγκεκριμένη ιστοσελίδα για να δημοσιοποιήσει τις απαιτήσεις της και ότι, μέχρι στιγμής, δεν έχει υπάρξει καμία διαπραγμάτευση με τη Revolut.
Οι αντιδράσεις της Revolut και οι ανησυχίες των πελατών
Εκπρόσωπος της Revolut ανέφερε ότι η εταιρεία εντόπισε μια «εξελιγμένη εξωτερική απάτη πλαστοπροσωπίας», κατά την οποία ένα μη εξουσιοδοτημένο τρίτο πρόσωπο χρησιμοποίησε νόμιμο domain ηλεκτρονικού ταχυδρομείου κρατικής υπηρεσίας για να υποβάλει πλαστά αιτήματα παροχής πληροφοριών. Η τράπεζα υποστήριξε ότι, μόλις εντόπισε το περιστατικό, μπλόκαρε άμεσα τη συγκεκριμένη διεύθυνση, ενημέρωσε τις αρμόδιες ρυθμιστικές Αρχές και επικοινώνησε με τους επηρεαζόμενους πελάτες, στους οποίους παρείχε άμεση υποστήριξη. Παράλληλα, διαβεβαίωσε ότι τα συστήματά της και τα χρήματα των πελατών δεν επηρεάστηκαν από το περιστατικό.
Το βράδυ της Τετάρτης, η Revolut δήλωσε ρητά ότι «δεν έχει καμία άμεση επικοινωνία ούτε έχει λάβει κάποια απαίτηση από τα άτομα ή την ομάδα που προβάλλουν αυτούς τους ισχυρισμούς», διαψεύδοντας ουσιαστικά ότι έχει λάβει το τελεσίγραφο των χάκερ απευθείας. Αρκετοί πελάτες της τράπεζας που φέρονται να επηρεάστηκαν από την παραβίαση έχουν εκφράσει ανησυχία για το ενδεχόμενο τα προσωπικά τους δεδομένα να έχουν διαρρεύσει και να χρησιμοποιηθούν από τρίτους. Η υπόθεση αναδεικνύει τους κινδύνους που προκύπτουν όταν επιτιθέμενοι καταφέρνουν να παραβιάσουν κρατικά συστήματα ηλεκτρονικού ταχυδρομείου και να τα χρησιμοποιήσουν ως μέσο για να αποσπάσουν εμπιστευτικά στοιχεία από ιδιωτικές εταιρείες.
Τι προβλέπει το τελεσίγραφο των χάκερ
Το χρονόμετρο αντίστροφης μέτρησης που συνοδεύει το τελεσίγραφο της ομάδας «iamnotavillain» έθεσε ως προθεσμία τις 24 ώρες από τη δημοσίευσή του, το απόγευμα της Τετάρτης. Αν η Revolut δεν καταβάλει τα 3 εκατομμύρια δολάρια σε Monero μέχρι τη λήξη της προθεσμίας, οι χάκερ απειλούν να προχωρήσουν στην πώληση των αρχείων των 680 πελατών σε άλλες εγκληματικές οργανώσεις. Μέχρι στιγμής, σύμφωνα με τη Revolut, δεν έχει υπάρξει καμία επίσημη επικοινωνία μεταξύ των δύο πλευρών, ενώ η τράπεζα επιμένει ότι τα κεντρικά της συστήματα παραμένουν ασφαλή και τα χρήματα των πελατών δεν διατρέχουν κίνδυνο.
