Útočníci, kteří podvedli Revolut, nyní požadují 6 000 XMR

Podle hackerů, kteří hovořili exkluzivně s deníkem Financial Times (FT), Revolut neztratil údaje o zákaznících kvůli tomu, že by hackeři prolomili jeho servery. Útočníci si je jednoduše vyžádali. Skupina, která si říká iamnotavillain, se po několik měsíců vydávala za italské orgány činné v trestním řízení a pomocí legitimního vládního e-mailového systému po celé měsíce žádala o soubory týkající se konkrétních uživatelů kryptoměn.

Hackeři sdělili svá tvrzení reportérům FT Tomu Wilsonovi, Laithovi Al-Khalafovi a Amy Kazminové prostřednictvím „série zpráv“. Společnost Revolut údajně těmto žádostem vyhověla a zaslala záznamy, které zahrnovaly pasy, selfie a historii transakcí. Nyní skupina tvrdí, že má data o přibližně 680 lidech a požaduje 6 000 monero (XMR), což odpovídá zhruba 3 milionům dolarů, zatímco veřejný odpočítávací časovač hrozí, že tyto soubory s identitami předá jiným zločincům.

Nevloupali se. Požádali o to

Únik dat ze společnosti Revolut údajně vyšel, protože útočníci údajně využili italský systém Posta Elettronica Certificata (PEC), což je síť certifikovaných e-mailů používaná pro právní a vládní komunikaci. Zprávy odeslané prostřednictvím tohoto napadeného kanálu obsahovaly platné autentizační údaje domény, takže společnost Revolut viděla e-maily, které vypadaly, jako by pocházely od skutečného vládního úřadu.

V tom byl háček. Ověření sice mohlo prokázat, že e-mail pochází z legitimní domény, ale nemohlo dokázat, že osoba stojící za účtem je skutečně oprávněným úředníkem. Útočníci tvrdí, že místo překonání bezpečnostních systémů společnosti Revolut zneužili proces určený k vyřizování zákonných vládních žádostí.

Oběti byly vybrány předem

Nejednalo se o náhodný sběr dat. Skupina tvrdí, že pomocí analýzy on-chain identifikovala uživatele Revolutu s významnou aktivitou v oblasti kryptoměn a poté si vyžádala záznamy o těchto osobách podle jména. Zpráva deníku FT uvádí, že postižená skupina čítala přibližně 680 lidí, kteří platformu využívali v 31 zemích, přičemž mnoho z nich bylo ve Švýcarsku a ve Francii.

Soubory údajně obsahovaly jména, adresy, telefonní čísla, identifikační čísla účtů, vklady a výběry kryptoměn, převody fiat měn, dokumenty KYC a ověřovací selfie. Zjednodušeně řečeno, skupina neshromažďovala pouze základní kontaktní údaje. Vytvářela podrobné identifikační balíčky o lidech, o kterých se domnívala, že stojí za to se na ně zaměřit.

Pak přišla žádost o Monero

16. září zveřejnil Iamnotavillain na webové stránce s tímto názvem veřejné ultimátum, v němž požadoval 6 000 XMR, což odpovídá zhruba 3 milionům dolarů, a to do 24 hodin; v opačném případě by ukradené soubory prodal jiným zločineckým skupinám. Dříve se na Telegramu šířila žádost o 10 000 bitcoinů (BTC), ale skupina později tuto částku připsala na vrub napodobiteli nebo bývalému spolupracovníkovi.

Pro mnoho pozorovatelů dává přechod na Monero (XMR) v případě vyděračského požadavku smysl. Bitcoinové transakce jsou viditelné ve veřejné účetní knize, zatímco měna XMR je navržena tak, aby zakrývala podrobnosti transakcí. Společnost Revolut mezitím sdělila tisku, že v době, kdy se objevilo odpočítávání, neobdržela žádný přímý požadavek od osob, které se k činu přihlásily, což z odpočítávání činí stejně tak veřejnou nátlakovou kampaň jako vyjednávání.

Společnost Revolut tvrdí, že její systémy ani prostředky zákazníků nebyly ohroženy. Pachatelé zřejmě nepronikli do hlavní sítě společnosti ani nevyprázdnili účty zákazníků. Údajně přesvědčili Revolut, aby jim předal informace prostřednictvím žádostí, které vypadaly jako legitimní oficiální požadavky.

To však neznamená, že ukradené záznamy jsou neškodné. Pas, selfie, adresa bydliště, telefonní číslo a historie transakcí mohou posloužit k vydávání se za jinou osobu, resetování účtů, falešným voláním na zákaznickou podporu a následným útokům na jiné finanční služby. Skutečné nebezpečí nespočívá jen v tom, co bylo odcizeno společnosti Revolut, ale v tom, co by tyto soubory mohly odhalit jinde.

Větším problémem je důvěryhodný kanál KYC

Společnost Revolut 12. září sdělila serveru TechCrunch, že podvod spočívající ve vydávání se za jinou osobu odhalila, zablokovala příslušnou adresu a informovala příslušný úřad, orgány činné v trestním řízení a regulační orgány. Vyšetřovatelé nyní zkoumají, jak se legitimní vládní komunikační kanál stal součástí této operace.

To vyvolává nepříjemnou otázku, která přesahuje rámec samotné společnosti zabývající se digitálními měnami. Pokud jedna napadená vládní schránka mohla generovat měsíce přesvědčivých žádostí o informace, mohly podobné zprávy obdržet i jiné kryptoměnové instituce. Útočníci neprolomili trezor. Vydávali se za osoby, které mají zákonné oprávnění požádat o jeho otevření.