De aanvallers die Revolut hebben misleid, eisen nu 6.000 XMR

Volgens de hackers, die exclusief met de Financial Times (FT) spraken, is Revolut geen klantgegevens kwijtgeraakt doordat hackers de servers hadden gekraakt. De aanvallers hebben er simpelweg om gevraagd. Een groep die zichzelf „iamnotavillain“ noemt, deed zich maandenlang voor als Italiaanse wetshandhavers en maakte gebruik van een legitiem e-mailsysteem van de overheid om maandenlang bestanden op te vragen over specifieke gebruikers van cryptovaluta.

De hackers deden hun beweringen tegenover FT-verslaggevers Tom Wilson, Laith Al-Khalaf en Amy Kazmin via „een reeks berichten“. Revolut zou aan de verzoeken hebben voldaan en documenten hebben verstuurd, waaronder paspoorten, selfies en transactiegeschiedenissen. Nu zegt de groep dat ze gegevens van ongeveer 680 mensen in haar bezit heeft en 6.000 monero (XMR) eist, ter waarde van ongeveer 3 miljoen dollar, terwijl een openbare aftelklok dreigt die identiteitsbestanden aan andere criminelen over te dragen.

Ze hebben niet ingebroken. Ze hebben erom gevraagd

Het datalek bij Revolut zou zijn gelukt omdat de aanvallers naar verluidt gebruik maakten van het Italiaanse Posta Elettronica Certificata-systeem (PEC), een netwerk voor gecertificeerde e-mail dat wordt gebruikt voor juridische en overheidscommunicatie. Berichten die via het gecompromitteerde kanaal werden verzonden, bevatten authentieke domeinverificatiegegevens, waardoor Revolut e-mails ontving die afkomstig leken te zijn van een echte overheidsinstantie.

Dat was de valstrik. De authenticatie kon wel aantonen dat een e-mail afkomstig was van het legitieme domein, maar kon niet bewijzen dat de persoon achter het account daadwerkelijk een bevoegde ambtenaar was. In plaats van de beveiligingssystemen van Revolut te omzeilen, beweren de aanvallers misbruik te hebben gemaakt van het proces dat is ontworpen om rechtmatige verzoeken van de overheid af te handelen.

De slachtoffers werden eerst geselecteerd

Dit was geen willekeurige gegevensroof. De groep beweert dat ze on-chain-analyse heeft gebruikt om Revolut-gebruikers met aanzienlijke cryptovaluta-activiteit te identificeren, en vervolgens per naam gegevens over die personen heeft opgevraagd. In de berichtgeving van de FT werd het aantal getroffen personen geschat op ongeveer 680, die het platform in 31 landen gebruikten, waarvan velen in Zwitserland en Frankrijk.

De bestanden zouden namen, adressen, telefoonnummers, account-ID’s, crypto-stortingen en -opnames, fiat-overschrijvingen, KYC-documenten en verificatieselfies bevatten. Simpel gezegd: de groep verzamelde geen basiscontactgegevens. Ze stelden gedetailleerde identiteitsdossiers samen over mensen die volgens hen de moeite waard waren om op te richten.

Toen kwam de Monero-eis

Op 16 september plaatste Iamnotavillain een openbaar ultimatum op een website met precies die naam, waarin 6.000 XMR werd geëist – omgerekend ongeveer 3 miljoen dollar – binnen 24 uur, anders zouden de gestolen bestanden aan andere criminele groepen worden verkocht. Eerder circuleerde op Telegram een eis van 10.000 bitcoin (BTC), maar de groep schreef dat bedrag later toe aan een imitator of voormalige medewerker.

Voor veel waarnemers is de overstap naar monero (XMR) logisch voor een afpersingsverzoek. Bitcoin-transacties zijn zichtbaar in een openbaar grootboek, terwijl XMR is ontworpen om transactiegegevens te verbergen. Revolut liet ondertussen aan de pers weten dat het geen directe eis had ontvangen van de mensen die de verantwoordelijkheid opeisten toen de aftelling verscheen, waardoor de klok evenzeer een publieke drukcampagne was als een onderhandeling.

Revolut houdt vol dat zijn systemen en klantgelden niet zijn aangetast. De criminelen zijn blijkbaar niet doorgedrongen tot het kernnetwerk van het bedrijf en hebben geen geld van klantenrekeningen weggehaald. De bewering is dat ze Revolut naar verluidt hebben overgehaald om informatie over te dragen via wat leek op legitieme officiële verzoeken.

Dat maakt de gestolen gegevens nog niet onschadelijk. Een paspoort, selfie, woonadres, telefoonnummer en transactiegeschiedenis kunnen worden gebruikt voor identiteitsfraude, het resetten van accounts, valse supportgesprekken en vervolgaanvallen op andere financiële diensten. Het echte gevaar ligt niet alleen in wat er bij Revolut is gestolen, maar ook in wat die bestanden elders zouden kunnen ontketenen.

Het grotere probleem is het KYC-vertrouwenskanaal

Revolut vertelde TechCrunch op 12 september dat het de identiteitsfraude had ontdekt, het adres had geblokkeerd en de betrokken instantie, wetshandhavers en toezichthouders op de hoogte had gesteld. Onderzoekers gaan nu na hoe een legitiem communicatiekanaal van de overheid onderdeel kon worden van de operatie.

Dat roept een ongemakkelijke vraag op die verder reikt dan het cryptovalutabedrijf zelf. Als één gehackte overheidsmailbox maandenlang overtuigende informatieverzoeken kon genereren, hebben andere crypto-instellingen mogelijk soortgelijke berichten ontvangen. De aanvallers hebben de kluis niet gekraakt. Ze deden zich voor als de mensen die wettelijk bevoegd zijn om te vragen om de kluis te openen.