Revolut negira kontakt s hakerom zbog navodne ucjene od 3 milijuna dolara

Nema zaprimljenih izravnih zahtjeva, kaže Revolut

Revolut je rekao da nije zaprimio izravan kontakt niti zahtjeve od bilo koje skupine koja tvrdi da je odgovorna za nedavno curenje podataka. Demanti fintech tvrtke stigao je manje od 24 sata nakon izvješća da su hakeri tražili 6.000 XMR-a, procijenjenih na 3 milijuna dolara, kako bi ilegalno pribavljene korisničke datoteke ostale izvan tržišta.

Londonska fintech tvrtka ranije ovog mjeseca potvrdila je da je neovlaštena treća strana pribavila osjetljive informacije koje pripadaju ograničenom broju korisnika koristeći domenu e-pošte legitimne državne agencije za podnošenje lažnih zahtjeva za podacima. Javne izjave objavljene online ovog tjedna od hakera koji djeluje pod imenom “IAmNotAVillain” zaprijetile su objavom ili prodajom korisničkih podataka, osim ako Revolut ne plati.

“Revolut nije zaprimio nikakav izravan kontakt niti zahtjev od pojedinaca ili skupine koja iznosi ove tvrdnje”, citira se glasnogovornik tvrtke. Proboj, koji je navodno bio usmjeren na oko 680 klijenata visoke neto vrijednosti diljem Europe, nije uključivao izravan tehnički prodor u Revolutove temeljne sustave.

Umjesto toga, napadači su tijekom nekoliko mjeseci koristili socijalni inženjering kako bi se lažno predstavili kao državna tijela, pribavljajući korisničke verifikacijske datoteke, identifikacijske dokumente i evidenciju transakcija. Revolut je naglasio da korisnička sredstva i interni sustavi ostaju sigurni i nepromijenjeni. Tvrtka je rekla da je blokirala lažnu adresu e-pošte nakon što je otkrila proboj te je incident prijavila policiji, tijelima za zaštitu podataka i financijskim regulatorima.

Analitičar upozorava na ranjivosti KYC-a

Incident ističe šire sustavne ranjivosti u načinu na koji financijske institucije postupaju s obveznim identifikacijskim podacima. Jonathan Riss, analitičar za otvorene izvore i blockchain inteligenciju u sigurnosnoj tvrtki Certik, tvrdio je da se temeljni uzrok proteže izvan obrane pojedinih tvrtki na same regulatorne zahtjeve.

“Pravi je problem u tome što je KYC stvorio iznimno osjetljiv identifikacijski sloj koji su financijske platforme obvezne održavati, često zato što vlade i regulatori zahtijevaju sve detaljnije informacije o korisnicima”, rekao je Riss. “Odgovornost, stoga, ne leži samo na bankama, fintechovima ili kripto burzama.”

Prema Rissu, javna tijela također trebaju razmotriti je li svaki podatak koji traže doista nužan i koliko dugo ga treba zadržati. Trebala bi se zapitati jesu li postojeći postupci za traženje korisničkih podataka dovoljno sigurni.

Riss je u međuvremenu napomenuo da izloženost detaljnih identifikacijskih datoteka može nositi povećane stvarne rizike u sektoru digitalne imovine. “Platforme bi i dalje trebale minimizirati zadržavanje podataka, ograničiti pristup te ojačati autentikaciju zahtjeva vlade i tijela za provedbu zakona putem neovisnih kanala provjere”, dodao je Riss.

Iako će se rasprava o taktikama hakera nastaviti, Riss smatra da bi incident trebao potaknuti industriju i regulatore da preispitaju trenutačni model. Cilj više ne bi trebao biti ograničen na zaštitu novčanika i sredstava; trebao bi uključivati i zaštitu financijskih identiteta korisnika.