Revolut zaprzecza, jakoby nawiązał kontakt z hakerem w związku z doniesieniami o żądaniu okupu w wysokości 3 mln dolarów

Revolut twierdzi, że nie otrzymał żadnych bezpośrednich żądań

Revolut oświadczył, że nie otrzymał żadnych bezpośrednich kontaktów ani żądań od żadnej grupy przyznającej się do odpowiedzialności za niedawny wyciek danych. Zaprzeczenie ze strony tej firmy z branży fintech pojawiło się niecałe 24 godziny po doniesieniach, że hakerzy zażądali 6 000 XMR o wartości 3 milionów dolarów w zamian za nieudostępnianie na rynku plików klientów, do których uzyskali nielegalny dostęp.

Ta londyńska firma z branży fintech potwierdziła na początku tego miesiąca, że nieuprawniona strona trzecia uzyskała poufne informacje należące do ograniczonej liczby klientów, wykorzystując domenę e-mailową legalnej agencji rządowej do wysyłania fałszywych wniosków o udostępnienie danych. W opublikowanych w tym tygodniu w Internecie oświadczeniach haker działający pod pseudonimem „IAmNotAVillain” groził ujawnieniem lub sprzedażą danych klientów, o ile firma Revolut nie uiści żądanej kwoty.

„Revolut nie otrzymał żadnego bezpośredniego kontaktu ani żądania od osób lub grupy wysuwających te roszczenia” – cytuje się wypowiedź rzecznika firmy. Naruszenie, które według doniesień dotyczyło około 680 zamożnych klientów w całej Europie, nie wiązało się z bezpośrednią ingerencją techniczną w podstawowe systemy Revolut.

Zamiast tego napastnicy przez kilka miesięcy wykorzystywali socjotechnikę, podszywając się pod organy rządowe, uzyskując w ten sposób pliki weryfikacyjne klientów, dokumenty tożsamości oraz rejestry transakcji. Revolut podkreślił, że środki klientów oraz systemy wewnętrzne pozostają bezpieczne i nie uległy naruszeniu. Firma poinformowała, że po wykryciu naruszenia zablokowała fałszywy adres e-mail oraz zgłosiła incydent organom ścigania, organom ochrony danych oraz organom nadzoru finansowego.

Analityk ostrzega przed lukami w procesie KYC

Incydent ten uwypukla szersze, systemowe luki w sposobie, w jaki instytucje finansowe postępują z obowiązkowymi danymi tożsamościowymi. Jonathan Riss, analityk ds. oprogramowania open source i technologii blockchain w firmie Certik zajmującej się bezpieczeństwem, argumentował, że podstawowa przyczyna wykracza poza systemy obronne poszczególnych firm i dotyczy samych wymogów regulacyjnych.

„Prawdziwym problemem jest to, że proces KYC stworzył niezwykle wrażliwą warstwę danych tożsamościowych, którą platformy finansowe są zobowiązane utrzymywać, często dlatego, że rządy i organy regulacyjne wymagają coraz bardziej szczegółowych informacji o klientach” – powiedział Riss. „Odpowiedzialność nie spoczywa zatem wyłącznie na bankach, firmach z branży fintech czy giełdach kryptowalut”.

Według Rissa organy publiczne również muszą rozważyć, czy każda wymagana przez nie informacja jest rzeczywiście niezbędna i jak długo powinna być przechowywana. Powinny one sprawdzić, czy istniejące procedury dotyczące żądania danych klientów są wystarczająco bezpieczne.

Riss zauważył jednocześnie, że ujawnienie szczegółowych plików tożsamościowych może wiązać się ze zwiększonym ryzykiem w świecie rzeczywistym w sektorze aktywów cyfrowych. „Platformy powinny nadal minimalizować okres przechowywania danych, ograniczać dostęp oraz wzmacniać proces uwierzytelniania wniosków rządowych i organów ścigania poprzez niezależne kanały weryfikacji” – dodał Riss.

Chociaż debata na temat taktyk hakerów będzie trwała, Riss uważa, że incydent ten powinien skłonić branżę i organy regulacyjne do ponownego przemyślenia obecnego modelu. Cel nie powinien już ograniczać się do ochrony portfeli i środków; powinien również obejmować ochronę tożsamości finansowej użytkowników.