Hackerne, der hævder at stå bag Revolut-hackerangrebet, har droppet deres tidligere krav om bitcoin og kræver nu 6.000 XMR – svarende til cirka 3 millioner dollar – for at holde 680 kundefiler væk fra det sorte marked.
De hackere, der svindlede Revolut, kræver nu 6.000 XMR
SKREVET AF
DEL
Vigtige punkter
- Revolut sendte angiveligt oplysninger om 680 brugere, efter at kriminelle havde udgivet sig for at være embedsmænd via et ægte italiensk e-mailsystem.
- Hackergruppen med navnet Iamnotavillain krævede 6.000 monero (XMR), svarende til omkring 3 millioner dollar, efter at have fået fat i Revolut-kundefilerne. Oprindeligt krævede hackerne BTC.
- Revolut afslørede svindelnummeret den 12. september, mens efterforskerne undersøger, hvordan den officielle e-mailkanal blev misbrugt.
Ifølge hackerne, der talte eksklusivt med Financial Times (FT), mistede Revolut ikke kundedata, fordi hackerne brød ind på selskabets servere. Angriberne bad simpelthen om dem. En gruppe, der kaldte sig iamnotavillain, udgav sig i flere måneder for at være italienske retshåndhævende myndigheder og brugte et legitimt regerings-e-mailsystem til i flere måneder at anmode om filer om specifikke kryptovalutabrugere.
Hackernes påstande blev fremsat over for FT-journalisterne Tom Wilson, Laith Al-Khalaf og Amy Kazmin via »en række beskeder«. Revolut efterkom angiveligt anmodningerne og sendte oplysninger, der omfattede pas, selfies og transaktionshistorikker. Nu siger gruppen, at den har data om omkring 680 personer og kræver 6.000 monero (XMR), svarende til cirka 3 millioner dollars, mens et offentligt nedtællingsur truer med at videregive disse identitetsfiler til andre kriminelle.
De brød sig ikke ind. De spurgte
Revolut-databruddet lykkedes angiveligt, fordi angriberne angiveligt benyttede det italienske Posta Elettronica Certificata-system, også kaldet PEC, et netværk af certificerede e-mails, der anvendes til juridisk og offentlig kommunikation. Beskeder sendt via den kompromitterede kanal indeholdt ægte domæneautentificeringsoplysninger, så Revolut modtog e-mails, der så ud til at komme fra en reel statslig myndighed.
Der lå hagen i det. Autentificeringen kunne vise, at en e-mail kom fra det legitime domæne, men den kunne ikke bevise, at personen bag kontoen faktisk var en autoriseret embedsmand. I stedet for at omgå Revoluts sikkerhedssystemer hævder angriberne at have udnyttet den proces, der er designet til at håndtere lovlige anmodninger fra myndighederne.
Ofrene blev udvalgt på forhånd
Dette var ikke en tilfældig dataindsamling. Gruppen hævder, at den anvendte on-chain-analyse til at identificere Revolut-brugere med betydelig kryptovalutaaktivitet og derefter anmodede om oplysninger om disse personer ved navn. FT's reportage angav, at den berørte gruppe bestod af omkring 680 personer, der benyttede platformen i 31 lande, hvoraf mange befandt sig i Schweiz og Frankrig.
Filerne indeholdt angiveligt navne, adresser, telefonnumre, konto-id’er, ind- og udbetalinger i kryptovaluta, fiat-overførsler, KYC-dokumenter og verifikations-selfies. Kort sagt indsamlede gruppen ikke blot grundlæggende kontaktoplysninger. Den sammensatte detaljerede identitetspakker om personer, som den mente var værd at gå efter.
Så kom Monero-kravet
Den 16. september offentliggjorde Iamnotavillain et ultimatum på en hjemmeside med netop dette navn, hvor de krævede 6.000 XMR – svarende til ca. 3 millioner dollars – inden for 24 timer, ellers ville de stjålne filer blive solgt til andre kriminelle grupper. Et tidligere krav på 10.000 bitcoin (BTC) cirkulerede på Telegram, men gruppen gav senere skylden for dette beløb på en efterligner eller en tidligere medarbejder.
For mange iagttagere giver skiftet til Monero (XMR) god mening i forbindelse med et afpresningskrav. Bitcoin-transaktioner er synlige i en offentlig hovedbog, mens XMR er designet til at skjule transaktionsdetaljer. Revolut oplyste samtidig til pressen, at man ikke havde modtaget noget direkte krav fra de personer, der påtog sig ansvaret, da nedtællingen dukkede op, hvilket gjorde uret lige så meget til en offentlig pressekampagne som til en forhandling.
Revolut fastholder, at selskabets systemer og kundernes midler ikke blev berørt. Forbryderne har tilsyneladende ikke trængt ind i selskabets kernenetværk eller tømt kundekonti. Påstanden er, at de angiveligt overtalte Revolut til at udlevere oplysninger gennem det, der lignede legitime officielle anmodninger.
Det gør de stjålne oplysninger ikke harmløse. Et pas, et selfie, en hjemmeadresse, et telefonnummer og en transaktionshistorik kan bruges til identitetstyveri, nulstilling af konti, falske supportopkald og opfølgende angreb mod andre finansielle tjenester. Den reelle fare ligger ikke kun i, hvad der blev stjålet fra Revolut, men i, hvad disse filer kan åbne op for andre steder.
Det større problem er KYC-tillidskanalen
Revolut oplyste den 12. september til TechCrunch, at man havde identificeret identitetstyverisvindlen, blokeret adressen og underrettet de relevante myndigheder, retshåndhævende instanser og tilsynsmyndigheder. Efterforskerne undersøger nu, hvordan en legitim kommunikationskanal fra myndighederne blev en del af operationen.
Det efterlader et ubehageligt spørgsmål, der rækker ud over selve kryptovalutafirmaet. Hvis en kompromitteret regeringsmailboks kunne generere måneder med overbevisende anmodninger om oplysninger, kan andre kryptoinstitutioner have modtaget lignende beskeder. Angriberne brød ikke ind i boksen. De fik sig selv til at fremstå som de personer, der lovligt har ret til at anmode om, at den åbnes.
Denne artikel er oversat fra engelsk ved hjælp af kunstig intelligens. Den originale engelske version er den autoritative kilde; automatiske oversættelser kan indeholde unøjagtigheder, især i juridisk og lovgivningsmæssig terminologi.
