Revolutit petnud ründajad nõuavad nüüd 6 000 XMR-i

Ajakirjale Financial Times (FT) eksklusiivses intervjuus rääkisid häkkerid, et Revolut ei kaotanud kliendiandmeid sellepärast, et häkkerid oleksid nende serverid murdnud. Ründajad lihtsalt küsisid neid. Kuude kaupa Itaalia õiguskaitseasutusteks maskeerudes ja kasutades seaduslikku valitsuse e-posti süsteemi, veetis end „iamnotavillain“ nimetav rühmitus kuude kaupa, nõudes faile konkreetsete krüptovaluuta kasutajate kohta.

Häkkerite väited esitati FT-i reporteritele Tom Wilsonile, Laith Al-Khalafile ja Amy Kazminile „seeria sõnumite“ kaudu. Revolut täitis väidetavalt need nõudmised, saates andmeid, mis sisaldasid passe, enesepilte ja tehingute ajalugu. Nüüd väidab rühmitus, et neil on andmeid umbes 680 inimese kohta ja nad nõuavad 6000 monero (XMR), mis on ligikaudu 3 miljonit dollarit, samal ajal kui avalik tagasilugemiskell ähvardab need isikuandmed teistele kurjategijatele üle anda.

Nad ei murdnud sisse. Nad küsisid

Revolut’i andmeleke õnnestus väidetavalt seetõttu, et ründajad kasutasid Itaalia Posta Elettronica Certificata ehk PEC-süsteemi, mis on sertifitseeritud e-posti võrk, mida kasutatakse juriidilises ja valitsusasutuste vahelises suhtluses. Selle rünnatud kanali kaudu saadetud sõnumid sisaldasid ehtsaid domeeni autentimise andmeid, mistõttu Revolut nägi kirju, mis paistsid pärinevat tõeliselt valitsusasutuselt.

Selles peituski konks. Autentimine võis näidata, et e-kiri pärines õiguspärasest domeenist, kuid see ei suutnud tõestada, et konto taga olev isik oli tegelikult volitatud ametnik. Ründajad väidavad, et nad ei murdnud Revolut’i turvasüsteeme, vaid kasutasid ära protsessi, mis on mõeldud seaduslike valitsusasutuste taotluste käsitlemiseks.

Esmalt valiti ohvrid

Tegemist ei olnud juhusliku andmete kogumisega. Rühmitus väidab, et kasutas ahelaanalüüsi, et tuvastada Revolut’i kasutajad, kellel oli märkimisväärne krüptovaluuta-tegevus, ning taotles seejärel nende inimeste andmeid nimepõhiselt. FT-i artiklis nimetati mõjutatud rühma suuruseks umbes 680 inimest, kes kasutasid platvormi 31 riigis, neist paljud Šveitsis ja Prantsusmaal.

Failid sisaldasid väidetavalt nimesid, aadresse, telefoninumbreid, kontode ID-sid, krüptovaluuta sissemakseid ja väljamakseid, fiat-ülekandeid, KYC-dokumente ja isikut tõendavaid selfisid. Lihtsamalt öeldes ei kogunud rühmitus lihtsalt põhilisi kontaktandmeid. Nad koostasid üksikasjalikke isikuandmete pakette inimeste kohta, keda nad pidasid sihtmärgiks võtmiseks väärtuslikuks.

Siis tuli Monero nõue

16. septembril avaldas Iamnotavillain avalikku ultimaatumit veebilehel, mis kandis just seda nime, nõudes 24 tunni jooksul 6000 XMR-i, mis vastas ligikaudu 3 miljonile dollarile, vastasel juhul müüakse varastatud failid teistele kuritegelikele rühmitustele. Varem oli Telegramis ringlenud nõue 10 000 bitcoini (BTC) kohta, kuid rühmitus süüdistas hiljem selle summa nõudmises jäljendajat või endist kaaslast.

Paljude vaatlejate arvates on üleminek Monero (XMR) kasutamisele väljapressimisnõudes mõistlik. Bitcoini tehingud on nähtavad avalikus raamatupidamisregistris, samas kui XMR on loodud tehinguandmete varjamiseks. Revolut teatas samal ajal ajakirjandusele, et ei olnud saanud ühtegi otsest nõuet isikutelt, kes vastutuse enda peale võtsid, kui tagasilöögikell ilmus, mistõttu oli kell nii avaliku surve kampaania kui ka läbirääkimiste vahend.

Revolut kinnitab, et selle süsteemid ja klientide rahalised vahendid jäid puutumata. Kurjategijad ilmselt ei tunginud ettevõtte põhivõrku ega tühjendanud klientide kontosid. Väidetavalt veensid nad Revolutit andmeid üle andma läbi nõudmiste, mis nägid välja nagu seaduslikud ametlikud taotlused.

See ei tähenda, et varastatud andmed oleksid ohutud. Pass, selfie, kodune aadress, telefoninumber ja tehingute ajalugu võivad aidata kaasa identiteedivargusele, kontode taastamisele, võltsitud klienditoe kõnedele ja järgnevatele rünnakutele teiste finantsteenuste vastu. Tõeline oht ei seisne mitte ainult selles, mida Revolutilt varastati, vaid selles, mida need failid võivad mujal avada.

Suurem probleem on KYC-usalduskanal

Revolut teatas 12. septembril Techcrunchile, et on tuvastanud identiteedivarguse, blokeerinud asjaomase aadressi ning teavitanud asjaomast asutust, õiguskaitseorganeid ja reguleerivaid asutusi. Uurijad uurivad praegu, kuidas sai seaduslik valitsuse suhtluskanal osaks sellest operatsioonist.

See tekitab ebamugava küsimuse, mis ulatub kaugemale kui digitaalvaluutaettevõte ise. Kui ühe häkitud valitsuse postkasti kaudu suudeti mitu kuud järjest saata veenvaid teabepäringuid, võisid ka teised krüptovaluutaasutused saada sarnaseid sõnumeid. Ründajad ei murdnud hoiukambrit lahti. Nad tegid end nägema nagu inimesed, kellel on seaduslik õigus paluda selle avamist.