Revolutin huijanneet hyökkääjät vaativat nyt 6 000 XMR:ää

Financial Timesin (FT) kanssa yksinoikeudella puhuneiden hakkereiden mukaan Revolut ei menettänyt asiakastietoja siksi, että hakkerit olisivat murtautuneet sen palvelimille. Hyökkääjät yksinkertaisesti pyysivät niitä. Esittäen kuukausien ajan italialaisia lainvalvontaviranomaisia ja käyttäen laillista hallituksen sähköpostijärjestelmää ryhmä, joka kutsuu itseään nimellä iamnotavillain, pyysi kuukausien ajan tietoja tietyistä kryptovaluutan käyttäjistä.

Hakkerit esittivät vaatimuksensa FT:n toimittajille Tom Wilsonille, Laith Al-Khalafille ja Amy Kazminille ”sarjan viestien” kautta. Revolut suostui väitetysti pyyntöihin ja lähetti tietoja, joihin sisältyi passeja, selfietä ja tapahtumahistorioita. Nyt ryhmä väittää hallussaan olevan tietoja noin 680 henkilöstä ja vaatii 6 000 moneroa (XMR), eli noin 3 miljoonaa dollaria, samalla kun julkinen lähtölaskenta uhkaa luovuttaa nämä henkilöllisyystiedot muille rikollisille.

He eivät murtautuneet sisään. He pyysivät

Revolutin tietomurto onnistui tiettävästi siksi, että hyökkääjät käyttivät väitetysti Italian Posta Elettronica Certificata (PEC) -järjestelmää, joka on sertifioitu sähköpostiverkosto, jota käytetään oikeudellisessa ja viranomaisviestinnässä. Tämän vaarantuneen kanavan kautta lähetetyissä viesteissä oli aitoja verkkotunnuksen todennustietoja, joten Revolut näki sähköpostia, joka näytti tulevan todelliselta viranomaiselta.

Siinä oli ansa. Todentaminen saattoi osoittaa, että sähköposti tuli lailliselta verkkotunnukselta, mutta se ei voinut todistaa, että tilin takana oleva henkilö oli todellakin valtuutettu virkamies. Sen sijaan, että hyökkääjät olisivat murtaneet Revolutin turvajärjestelmiä, he väittävät hyödyntäneensä prosessia, joka on suunniteltu käsittelemään laillisia viranomaisten pyyntöjä.

Uhrit valittiin etukäteen

Kyseessä ei ollut satunnainen tietojen kaappaus. Ryhmä väittää käyttäneensä lohkoketjuanalyysiä tunnistaakseen Revolut-käyttäjiä, joilla oli merkittävää kryptovaluuttatoimintaa, ja pyytäneensä sitten kyseisten henkilöiden tietoja nimeltä. FT:n uutisoinnin mukaan uhreiksi joutui noin 680 henkilöä, jotka käyttivät alustaa 31 maassa, joista monet olivat Sveitsissä ja Ranskassa.

Tiedostojen väitetään sisältäneen nimiä, osoitteita, puhelinnumeroita, tilitunnuksia, kryptovaluuttojen talletuksia ja nostoja, fiat-siirtoja, KYC-asiakirjoja sekä vahvistusselfieitä. Selkokielellä sanottuna ryhmä ei kerännyt pelkkiä perustietoja. Se rakensi yksityiskohtaisia henkilöllisyyspaketteja ihmisistä, joiden se katsoi olevan kohdentamisen arvoisia.

Sitten tuli Monero-vaatimus

16. syyskuuta Iamnotavillain julkaisi julkisen uhkavaatimuksen samannimisellä verkkosivustolla ja vaati 6 000 XMR:ää, joka vastasi noin 3 miljoonaa dollaria, 24 tunnin kuluessa – muuten varastetut tiedostot myytäisiin muille rikollisryhmille. Aiemmin Telegramissa oli kiertänyt 10 000 bitcoinin (BTC) vaade, mutta ryhmä syytti myöhemmin kyseisestä summasta jäljittelijää tai entistä kumppania.

Monien tarkkailijoiden mielestä siirtyminen moneroon (XMR) on järkevää kiristysvaatimuksen kannalta. Bitcoin-transaktiot näkyvät julkisessa tilikirjassa, kun taas XMR on suunniteltu peittämään transaktiotiedot. Revolut puolestaan kertoi lehdistölle, ettei se ollut saanut suoraa vaatimusta tekijöiltä, jotka ottivat vastuun, kun lähtölaskenta alkoi, mikä teki kellosta yhtä lailla julkisen painostuskampanjan kuin neuvottelun.

Revolut väittää, että sen järjestelmät ja asiakkaiden varat eivät vaurioituneet. Rikolliset eivät ilmeisesti tunkeutuneet yrityksen ydinverkkoon eivätkä tyhjentäneet asiakastilejä. Väitteen mukaan he olisivat suostuttaneet Revolutin luovuttamaan tietoja näennäisesti laillisilta virallisilta pyynnöiltä näyttävien pyyntöjen avulla.

Tämä ei tee varastetuista tiedoista vaarattomia. Passi, selfie, kotiosoite, puhelinnumero ja tapahtumahistoria voivat mahdollistaa henkilöllisyyden väärinkäytön, tilien nollaamisen, väärennetyt tukipuheluita sekä jatkohyökkäykset muita rahoituspalveluita vastaan. Todellinen vaara ei ole pelkästään se, mitä Revolutilta vietiin, vaan se, mitä nämä tiedostot voivat paljastaa muualla.

Suurempi ongelma on KYC-luottamuskanava

Revolut kertoi Techcrunchille 12. syyskuuta, että se oli tunnistanut henkilöllisyyden väärinkäyttöön perustuvan huijauksen, estänyt kyseisen osoitteen ja ilmoittanut asiasta asianomaiselle virastolle, lainvalvontaviranomaisille ja sääntelyviranomaisille. Tutkijat selvittävät parhaillaan, miten laillinen viranomaisten viestintäkanava päätyi osaksi operaatiota.

Tämä herättää epämiellyttävän kysymyksen, joka ulottuu itse kryptovaluuttayrityksen ulkopuolelle. Jos yksi vaarantunut viranomaisen sähköpostilaatikko pystyi tuottamaan kuukausien ajan vakuuttavia tietopyyntöjä, muut kryptovaluutta-alan toimijat ovat saattaneet vastaanottaa vastaavia viestejä. Hyökkääjät eivät murtautuneet holviin. He saivat itsensä näyttämään henkilöiltä, joilla oli laillinen oikeus pyytää sen avaamista.