Злоумышленники, обманувшие Revolut, теперь требуют 6 000 XMR

По словам хакеров, которые дали эксклюзивное интервью Financial Times (FT), Revolut не потеряла данные клиентов из-за взлома серверов. Злоумышленники просто запросили их. Выдавая себя за итальянские правоохранительные органы в течение нескольких месяцев и используя легитимную правительственную систему электронной почты, группа, называющая себя iamnotavillain, в течение нескольких месяцев запрашивала файлы по конкретным пользователям криптовалюты.

Заявления хакеров были сделаны репортерам FT Тому Уилсону, Лейту Аль-Халафу и Эми Казмин в ходе «серии сообщений». Revolut, как утверждается, удовлетворила эти запросы, отправив документы, включавшие паспорта, селфи и историю транзакций. Теперь группа заявляет, что располагает данными примерно о 680 человек и требует 6 000 монеро (XMR), что составляет примерно 3 миллиона долларов, а публичный таймер обратного отсчёта угрожает передачей этих файлов с личными данными другим преступникам.

Они не взломали систему. Они просто попросили

Утечка данных Revolut, как сообщается, стала возможной благодаря тому, что злоумышленники якобы использовали итальянскую систему Posta Elettronica Certificata (PEC) — сеть сертифицированной электронной почты, применяемую для юридической и государственной переписки. Сообщения, отправленные через скомпрометированный канал, содержали подлинные учетные данные для аутентификации домена, поэтому Revolut воспринимала письма как пришедшие от реального государственного органа.

В этом и заключалась уловка. Аутентификация могла подтвердить, что письмо пришло с легитимного домена, но не могла доказать, что человек, стоящий за этой учетной записью, действительно является уполномоченным должностным лицом. Вместо того чтобы обойти системы безопасности Revolut, злоумышленники, по их утверждению, воспользовались процессом, предназначенным для обработки законных запросов государственных органов.

Жертвы были выбраны заранее

Это не был случайный сбор данных. Группа утверждает, что использовала анализ цепочки блоков для выявления пользователей Revolut, демонстрировавших значительную активность с криптовалютой, а затем запрашивала данные об этих людях по имени. В репортаже FT указано, что в группу пострадавших вошло около 680 человек, которые пользовались платформой в 31 стране, причем многие из них находились в Швейцарии и Франции.

Файлы, как утверждается, содержали имена, адреса, номера телефонов, идентификаторы счетов, данные о пополнениях и снятии криптовалюты, переводы в фиатной валюте, документы KYC и селфи для верификации. Проще говоря, хакеры не просто собирали базовую контактную информацию. Они формировали подробные досье на людей, которых считали достойными внимания.

Затем последовало требование о выплате Monero

16 сентября Iamnotavillain опубликовал публичный ультиматум на сайте с таким же названием, потребовав 6 000 XMR (что соответствует примерно 3 миллионам долларов) в течение 24 часов, угрожая в противном случае продать похищенные файлы другим преступным группировкам. Ранее в Telegram циркулировало требование о выплате 10 000 биткойнов (BTC), но позже группировка возложила ответственность за эту цифру на самозванца или бывшего сообщника.

По мнению многих наблюдателей, переход на Monero (XMR) для вымогательства выглядит логичным. Транзакции с биткойнами видны в публичном реестре, тогда как XMR разработан для сокрытия деталей транзакций. Между тем компания Revolut сообщила прессе, что не получала никаких прямых требований от лиц, взявших на себя ответственность, когда появился обратный отсчет, что делает этот таймер скорее кампанией публичного давления, чем средством переговоров.

Revolut утверждает, что его системы и средства клиентов не пострадали. Преступники, по-видимому, не проникли в основную сеть компании и не опустошили счета клиентов. Согласно имеющимся данным, они якобы убедили Revolut передать информацию посредством запросов, выглядевших как законные официальные запросы.

Это не делает похищенные записи безвредными. Паспорт, селфи, домашний адрес, номер телефона и история транзакций могут быть использованы для подражания личности, сброса паролей, поддельных обращений в службу поддержки и последующих атак на другие финансовые сервисы. Настоящая опасность заключается не только в том, что было похищено у Revolut, но и в том, к чему эти файлы могут привести в других местах.

Более серьезная проблема — канал доверия KYC

12 сентября Revolut сообщила TechCrunch, что выявила мошенничество с подделкой личности, заблокировала адрес и уведомила соответствующее ведомство, правоохранительные органы и регулирующие органы. Сейчас следователи выясняют, как законный канал связи с государственными органами оказался вовлеченным в эту операцию.

Это поднимает неудобный вопрос, выходящий за рамки самой криптовалютной компании. Если один взломанный государственный почтовый ящик мог генерировать убедительные запросы на информацию в течение нескольких месяцев, то другие криптовалютные учреждения, возможно, также получали подобные сообщения. Злоумышленники не взломали хранилище. Они просто выдали себя за лиц, имеющих законное право требовать его открытия.