Revolut popírá, že by byl v kontaktu s hackery ohledně údajného požadavku na výkupné ve výši 3 milionů dolarů

Revolut uvádí, že neobdržel žádné přímé požadavky

Společnost Revolut uvedla, že neobdržela žádný přímý kontakt ani požadavky od žádné skupiny, která by se přihlásila k odpovědnosti za nedávný únik dat. Toto popření ze strany fintechové společnosti přišlo méně než 24 hodin poté, co se objevily zprávy, že hackeři požadovali 6 000 XMR v hodnotě 3 milionů dolarů za to, že nezveřejní nelegálně získané soubory zákazníků na trhu.

Londýnská fintechová firma počátkem tohoto měsíce potvrdila, že neoprávněná třetí strana získala citlivé informace patřící omezenému počtu zákazníků tím, že využila e-mailovou doménu legitimní vládní agentury k odeslání podvodných žádostí o data. Veřejná prohlášení zveřejněná tento týden na internetu hackerem vystupujícím pod jménem „IAmNotAVillain“ obsahovala výhrůžky, že pokud Revolut nezaplatí, budou zákaznická data zveřejněna nebo prodána.

„Společnost Revolut neobdržela žádný přímý kontakt ani požadavek od jednotlivců či skupiny, kteří tyto nároky vznesli,“ uvedl mluvčí společnosti. K tomuto úniku dat, který se údajně týkal přibližně 680 zákazníků s vysokým čistým jměním po celé Evropě, nedošlo prostřednictvím přímého technického vniknutí do klíčových systémů společnosti Revolut.

Útočníci místo toho několik měsíců využívali sociální inženýrství, aby se vydávali za vládní úřady, a získali tak ověřovací soubory zákazníků, doklady totožnosti a záznamy o transakcích. Společnost Revolut zdůraznila, že finanční prostředky zákazníků i interní systémy zůstávají v bezpečí a nejsou tímto incidentem nijak dotčeny. Společnost uvedla, že po odhalení úniku zablokovala podvodnou e-mailovou adresu a incident nahlásila orgánům činným v trestním řízení, orgánům na ochranu osobních údajů a finančním regulátorům.

Analytik varuje před zranitelností v rámci KYC

Tento incident poukazuje na širší systémové zranitelnosti v tom, jak finanční instituce nakládají s povinnými identifikačními údaji. Jonathan Riss, analytik v oblasti open-source a blockchainu ve bezpečnostní firmě Certik, tvrdí, že hlavní příčina přesahuje rámec obrany jednotlivých společností a sahá až k samotným regulačním požadavkům.

„Skutečným problémem je, že systém KYC vytvořil extrémně citlivou identifikační vrstvu, kterou jsou finanční platformy povinny udržovat, často proto, že vlády a regulátoři vyžadují stále podrobnější informace o zákaznících,“ uvedl Riss. „Odpovědnost tedy neleží pouze na bankách, fintechových společnostech nebo kryptoměnových burzách.“

Podle Risse musí také veřejné orgány zvážit, zda je každý požadovaný údaj skutečně nezbytný a jak dlouho by měl být uchováván. Měly by se také zeptat, zda jsou stávající postupy pro vyžádání údajů o zákaznících dostatečně bezpečné.

Riss mezitím poznamenal, že zveřejnění podrobných identifikačních souborů může v sektoru digitálních aktiv představovat zvýšená reálná rizika. „Platformy by i nadále měly minimalizovat dobu uchovávání, omezovat přístup a posílit ověřování žádostí vládních orgánů a orgánů činných v trestním řízení prostřednictvím nezávislých ověřovacích kanálů,“ dodal Riss.

Zatímco debata o taktice hackerů bude pokračovat, Riss se domnívá, že tento incident by měl přimět odvětví i regulační orgány k přehodnocení současného modelu. Cíl by se již neměl omezovat pouze na ochranu peněženek a finančních prostředků; měl by zahrnovat také ochranu finančních identit uživatelů.