Hakerzy, którzy oszukali Revolut, żądają teraz 6 000 XMR

Według hakerów, którzy udzielili wywiadu wyłącznie gazecie „Financial Times” (FT), Revolut nie stracił danych klientów w wyniku włamania do swoich serwerów. Atakujący po prostu o nie poprosili. Podając się przez wiele miesięcy za włoskie organy ścigania i korzystając z legalnego rządowego systemu poczty elektronicznej, grupa nazywająca się „iamnotavillain” przez wiele miesięcy żądała plików dotyczących konkretnych użytkowników kryptowalut.

Hakerzy przedstawili swoje twierdzenia dziennikarzom FT – Tomowi Wilsonowi, Laithowi Al-Khalafowi i Amy Kazmin – w ramach „serii wiadomości”. Revolut rzekomo spełnił te prośby, przesyłając dokumenty zawierające zdjęcia paszportowe, selfie oraz historie transakcji. Obecnie grupa twierdzi, że posiada dane dotyczące około 680 osób i żąda 6 000 monero (XMR), czyli około 3 milionów dolarów, a publiczny zegar odliczający grozi przekazaniem tych plików z danymi osobowymi innym przestępcom.

Nie włamali się. Po prostu poprosili

Wyciek danych z Revolutu rzekomo doszedł do skutku, ponieważ atakujący wykorzystali włoski system Posta Elettronica Certificata (PEC) – sieć certyfikowanej poczty elektronicznej używaną do komunikacji prawnej i rządowej. Wiadomości wysłane przez ten przejęty kanał zawierały autentyczne dane uwierzytelniające domeny, więc Revolut odebrał pocztę, która wyglądała, jakby pochodziła od prawdziwego organu rządowego.

W tym właśnie tkwił haczyk. Uwierzytelnianie mogło wykazać, że wiadomość e-mail pochodziła z legalnej domeny, ale nie mogło udowodnić, że osoba stojąca za kontem była faktycznie upoważnionym urzędnikiem. Zamiast pokonywać systemy bezpieczeństwa Revolut, atakujący twierdzą, że wykorzystali proces zaprojektowany do obsługi zgodnych z prawem wniosków rządowych.

Ofiary zostały wybrane z góry

Nie było to przypadkowe pozyskiwanie danych. Grupa twierdzi, że wykorzystała analizę łańcucha bloków do zidentyfikowania użytkowników Revolut wykazujących znaczną aktywność w zakresie kryptowalut, a następnie zażądała danych dotyczących tych osób z podaniem ich nazwisk. W raporcie FT podano, że grupa poszkodowanych liczyła około 680 osób korzystających z platformy w 31 krajach, z których wiele pochodziło ze Szwajcarii i Francji.

Pliki rzekomo zawierały imiona i nazwiska, adresy, numery telefonów, identyfikatory kont, wpłaty i wypłaty kryptowalut, przelewy walutami fiducjarnymi, dokumenty KYC oraz selfie weryfikacyjne. Mówiąc wprost, grupa ta nie gromadziła jedynie podstawowych danych kontaktowych. Tworzyła szczegółowe pakiety danych identyfikacyjnych osób, które uznała za warte zainteresowania.

Potem pojawiło się żądanie dotyczące Monero

16 września Iamnotavillain opublikował publiczne ultimatum na stronie internetowej o tej samej nazwie, żądając 6 000 XMR – co odpowiadało około 3 milionom dolarów – w ciągu 24 godzin, grożąc, że w przeciwnym razie skradzione pliki zostaną sprzedane innym grupom przestępczym. Wcześniej na Telegramie krążyło żądanie dotyczące 10 000 bitcoinów (BTC), ale grupa ta później zrzuciła winę za podanie tej kwoty na oszusta podszywającego się pod nią lub byłego współpracownika.

Dla wielu obserwatorów przejście na monero (XMR) ma sens w kontekście żądania okupu. Transakcje bitcoinowe są widoczne w publicznym rejestrze, podczas gdy XMR zostało zaprojektowane tak, by ukrywać szczegóły transakcji. Tymczasem firma Revolut poinformowała prasę, że nie otrzymała żadnego bezpośredniego żądania od osób przyznających się do odpowiedzialności w momencie pojawienia się odliczania, co sprawia, że zegar ten jest w równym stopniu kampanią wywierania presji publicznej, co środkiem negocjacyjnym.

Revolut utrzymuje, że jego systemy i środki klientów nie ucierpiały. Przestępcy najwyraźniej nie włamali się do głównej sieci firmy ani nie opróżnili kont klientów. Twierdzi się, że rzekomo przekonali Revolut do przekazania informacji za pomocą wniosków, które wyglądały na legalne i oficjalne.

Nie oznacza to jednak, że skradzione dane są nieszkodliwe. Paszport, selfie, adres zamieszkania, numer telefonu i historia transakcji mogą posłużyć do podszywania się pod inne osoby, resetowania kont, fałszywych zgłoszeń do działu obsługi klienta oraz kolejnych ataków na inne usługi finansowe. Prawdziwe niebezpieczeństwo wiąże się nie tylko z tym, co zostało skradzione z Revolut, ale także z tym, do czego te pliki mogą dać dostęp gdzie indziej.

Większym problemem jest kanał zaufania KYC

12 września firma Revolut poinformowała serwis TechCrunch, że zidentyfikowała oszustwo polegające na podszywaniu się, zablokowała adres oraz powiadomiła odpowiednią agencję, organy ścigania i organy regulacyjne. Śledczy badają obecnie, w jaki sposób legalny rządowy kanał komunikacyjny stał się częścią tej operacji.

To rodzi niepokojące pytanie wykraczające poza samą firmę zajmującą się walutami cyfrowymi. Jeśli jedna przejęta rządowa skrzynka pocztowa mogła generować przez miesiące przekonujące prośby o udzielenie informacji, inne instytucje kryptowalutowe mogły otrzymać podobne wiadomości. Atakujący nie włamali się do skarbca. Sprawili, że wyglądali jak osoby uprawnione prawnie do wystąpienia z prośbą o jego otwarcie.