Para penyerang yang menipu Revolut kini menuntut 6.000 XMR

Menurut para peretas yang berbicara secara eksklusif dengan Financial Times (FT), Revolut tidak kehilangan data pelanggan karena peretas membobol servernya. Para penyerang hanya meminta data tersebut. Dengan menyamar sebagai penegak hukum Italia selama berbulan-bulan dan menggunakan sistem email pemerintah yang sah, sebuah kelompok yang menamakan diri iamnotavillain menghabiskan waktu berbulan-bulan untuk meminta berkas-berkas mengenai pengguna kripto tertentu.

Klaim para peretas tersebut disampaikan kepada wartawan FT Tom Wilson, Laith Al-Khalaf, dan Amy Kazmin melalui “serangkaian pesan.” Revolut diduga memenuhi permintaan tersebut, dengan mengirimkan catatan yang mencakup paspor, foto selfie, dan riwayat transaksi. Kini, kelompok tersebut menyatakan memiliki data sekitar 680 orang dan menuntut 6.000 monero (XMR), senilai sekitar $3 juta, sementara jam hitung mundur publik mengancam akan menyerahkan berkas-berkas identitas tersebut kepada penjahat lain.

Mereka Tidak Membobol Sistem. Mereka Meminta

Pelanggaran data Revolut dilaporkan berhasil karena para penyerang diduga menggunakan sistem Posta Elettronica Certificata (PEC) Italia, yaitu jaringan email bersertifikat yang digunakan untuk komunikasi hukum dan pemerintah. Pesan yang dikirim melalui saluran yang disusupi tersebut membawa kredensial otentikasi domain yang asli, sehingga Revolut melihat email yang tampaknya berasal dari otoritas pemerintah yang sah.

Itulah jebakannya. Otentikasi dapat menunjukkan bahwa sebuah email berasal dari domain yang sah, tetapi tidak dapat membuktikan bahwa orang di balik akun tersebut benar-benar pejabat yang berwenang. Alih-alih mengalahkan sistem keamanan Revolut, para penyerang mengaku telah mengeksploitasi proses yang dirancang untuk menangani permintaan pemerintah yang sah.

Para Korban Telah Dipilih Terlebih Dahulu

Ini bukanlah pengambilan data secara acak. Kelompok tersebut mengklaim telah menggunakan analisis on-chain untuk mengidentifikasi pengguna Revolut dengan aktivitas kripto yang signifikan, lalu meminta catatan mengenai orang-orang tersebut berdasarkan nama. Laporan FT menyebutkan bahwa kelompok yang terkena dampak berjumlah sekitar 680 orang yang menggunakan platform tersebut di 31 negara, dengan banyak di antaranya berada di Swiss dan Prancis.

Berkas-berkas tersebut diduga berisi nama, alamat, nomor telepon, ID akun, setoran dan penarikan kripto, transfer mata uang fiat, dokumen KYC, serta foto selfie verifikasi. Dengan kata lain, kelompok tersebut tidak hanya mengumpulkan informasi kontak dasar. Mereka sedang membangun paket identitas terperinci mengenai orang-orang yang mereka yakini layak menjadi target.

Kemudian Muncul Tuntutan Monero

Pada 16 September, Iamnotavillain memposting ultimatum publik di sebuah situs web dengan nama yang sama, menuntut 6.000 XMR—yang setara dengan sekitar $3 juta—dalam waktu 24 jam; jika tidak, berkas-berkas yang dicuri akan dijual kepada kelompok kriminal lain. Sebelumnya, tuntutan sebesar 10.000 bitcoin (BTC) beredar di Telegram, tetapi kelompok tersebut kemudian menyalahkan angka tersebut pada seorang peniru atau mantan rekan mereka.

Bagi banyak pengamat, peralihan ke Monero (XMR) masuk akal untuk tuntutan pemerasan. Transaksi Bitcoin terlihat di buku besar publik, sedangkan XMR dirancang untuk menyembunyikan detail transaksi. Sementara itu, Revolut mengatakan kepada pers bahwa mereka tidak menerima tuntutan langsung dari pihak yang mengaku bertanggung jawab saat hitungan mundur muncul, sehingga hitungan mundur tersebut lebih merupakan kampanye tekanan publik daripada negosiasi.

Revolut menegaskan bahwa sistem dan dana pelanggannya tidak terpengaruh. Para pelaku tampaknya tidak berhasil menembus jaringan inti perusahaan atau menguras rekening pelanggan. Klaim yang beredar adalah bahwa mereka dilaporkan berhasil meyakinkan Revolut untuk menyerahkan informasi melalui permintaan yang tampak seperti permintaan resmi yang sah.

Hal itu tidak membuat data yang dicuri menjadi tidak berbahaya. Paspor, foto selfie, alamat rumah, nomor telepon, dan riwayat transaksi dapat digunakan untuk peniruan identitas, pengaturan ulang akun, panggilan dukungan palsu, dan serangan lanjutan terhadap layanan keuangan lainnya. Bahaya sebenarnya bukan hanya apa yang diambil dari Revolut, tetapi apa yang dapat diungkap oleh file-file tersebut di tempat lain.

Masalah yang Lebih Besar Adalah Saluran Kepercayaan KYC

Revolut mengatakan kepada Techcrunch pada 12 September bahwa mereka telah mengidentifikasi penipuan peniruan identitas tersebut, memblokir alamat tersebut, dan memberi tahu lembaga terkait, penegak hukum, serta regulator. Para penyelidik kini sedang meneliti bagaimana saluran komunikasi pemerintah yang sah dapat menjadi bagian dari operasi tersebut.

Hal ini menimbulkan pertanyaan yang tidak menyenangkan di luar perusahaan mata uang digital itu sendiri. Jika satu kotak surat pemerintah yang disusupi dapat menghasilkan permintaan informasi yang meyakinkan selama berbulan-bulan, lembaga kripto lainnya mungkin telah menerima pesan serupa. Para penyerang tidak membobol brankas tersebut. Mereka membuat diri mereka tampak seperti orang-orang yang secara hukum diizinkan untuk meminta brankas itu dibuka.