Atacatorii care au înșelat Revolut cer acum 6.000 XMR

Potrivit hackerilor care au vorbit în exclusivitate cu Financial Times (FT), Revolut nu a pierdut datele clienților deoarece hackerii i-au spart serverele. Atacatorii pur și simplu le-au cerut. Dându-se drept reprezentanți ai forțelor de ordine italiene timp de luni de zile și folosind un sistem de e-mail guvernamental legitim, o grupare care se numește „iamnotavillain” a petrecut luni întregi solicitând fișiere referitoare la anumiți utilizatori de criptomonede.

Afirmațiile hackerilor au fost făcute reporterilor FT Tom Wilson, Laith Al-Khalaf și Amy Kazmin printr-o „serie de mesaje”. Se pare că Revolut a dat curs solicitărilor, trimițând documente care includeau pașapoarte, selfie-uri și istoricul tranzacțiilor. Acum, grupul susține că deține date despre aproximativ 680 de persoane și cere 6.000 de monero (XMR), echivalentul a aproximativ 3 milioane de dolari, în timp ce un ceas de numărătoare inversă afișat public amenință cu predarea acestor fișiere de identitate către alți infractori.

Nu au pătruns prin efracție. Au cerut

Se pare că breșa de securitate de la Revolut a funcționat deoarece atacatorii ar fi folosit sistemul italian Posta Elettronica Certificata (PEC), o rețea de e-mail certificată utilizată pentru comunicări juridice și guvernamentale. Mesajele trimise prin canalul compromis conțineau date de autentificare valide pentru domeniu, astfel încât Revolut a primit e-mailuri care păreau să provină de la o autoritate guvernamentală reală.

Aceasta a fost capcana. Autentificarea putea demonstra că un e-mail provenea de la un domeniu legitim, dar nu putea dovedi că persoana din spatele contului era de fapt un funcționar autorizat. În loc să spargă sistemele de securitate ale Revolut, atacatorii susțin că au exploatat procesul conceput pentru a gestiona solicitările legale ale autorităților.

Victimele au fost alese în prealabil

Nu a fost vorba de o colectare aleatorie de date. Grupul susține că a folosit analiza on-chain pentru a identifica utilizatorii Revolut cu o activitate substanțială în criptomonede, apoi a solicitat înregistrările referitoare la acele persoane, pe nume. Raportul FT a menționat că grupul afectat era format din aproximativ 680 de persoane care utilizau platforma în 31 de țări, multe dintre ele fiind din Elveția și Franța.

Fișierele ar fi inclus nume, adrese, numere de telefon, ID-uri de cont, depuneri și retrageri de criptomonede, transferuri în monedă fiduciară, documente KYC și selfie-uri de verificare. Pe scurt, grupul nu colecta doar informații de contact de bază. Acesta alcătuia dosare detaliate de identitate despre persoanele pe care le considera demne de a fi vizate.

Apoi a venit cererea privind Monero

Pe 16 septembrie, Iamnotavillain a postat un ultimatum public pe un site web cu același nume, cerând 6.000 XMR, echivalentul a aproximativ 3 milioane de dolari, în termen de 24 de ore; în caz contrar, fișierele furate urmau să fie vândute altor grupuri criminale. Anterior, pe Telegram circulase o cerere de 10.000 de bitcoin (BTC), dar grupul a dat ulterior vina pe un imitator sau un fost asociat pentru acea sumă.

Pentru mulți observatori, trecerea la Monero (XMR) are sens în contextul unei cereri de șantaj. Tranzacțiile cu bitcoin sunt vizibile într-un registru public, în timp ce XMR este conceput pentru a ascunde detaliile tranzacțiilor. Revolut, între timp, a declarat presei că nu a primit nicio cerere directă din partea celor care și-au asumat responsabilitatea atunci când a apărut numărătoarea inversă, ceea ce face ca ceasul să fie atât o campanie de presiune publică, cât și o negociere.

Revolut susține că sistemele sale și fondurile clienților nu au fost afectate. Se pare că infractorii nu au pătruns în rețeaua centrală a companiei și nu au golit conturile clienților. Se afirmă că aceștia ar fi convins Revolut să le furnizeze informații prin ceea ce păreau a fi solicitări oficiale legitime.

Acest lucru nu înseamnă că datele furate sunt inofensive. Un pașaport, o selfie, adresa de domiciliu, numărul de telefon și istoricul tranzacțiilor pot facilita uzurparea identității, resetarea conturilor, apeluri false către serviciul de asistență și atacuri ulterioare împotriva altor servicii financiare. Adevăratul pericol nu constă doar în ceea ce a fost sustras de la Revolut, ci în ceea ce aceste fișiere ar putea dezvălui în alte părți.

Problema mai gravă este canalul de încredere KYC

Revolut a declarat pentru TechCrunch pe 12 septembrie că a identificat escrocheria de uzurpare a identității, a blocat adresa și a notificat agenția relevantă, forțele de ordine și autoritățile de reglementare. Anchetatorii examinează acum modul în care un canal legitim de comunicare guvernamental a devenit parte a operațiunii.

Aceasta ridică o întrebare incomodă care depășește cadrul companiei de monedă digitală în sine. Dacă o singură căsuță poștală guvernamentală compromisă a putut genera luni întregi de solicitări de informații convingătoare, este posibil ca și alte instituții din domeniul criptomonedelor să fi primit mesaje similare. Atacatorii nu au spart seiful. S-au prezentat drept persoanele autorizate legal să solicite deschiderea acestuia.