Revolut je sporočil, da po nedavnem vdoru v podatkovno bazo ni prejel nobenih neposrednih zahtev po odkupnini. Analitik podjetja Certik, Jonathan Riss, je opozoril, da obvezna pravila »poznaj svojega stranko« (KYC) platforme silijo k shranjevanju občutljivih podatkov o identiteti, zaradi česar postanejo zelo privlačne tarče za hekerje.
Revolut zanika stik s hekerjem v zvezi z domnevno zahtevo po odkupnini v višini 3 milijonov dolarjev
NAPISAL
DELI
Ključne ugotovitve
- Revolut je sporočil, da ni prejel nobenih neposrednih zahtev po odkupnini, potem ko so hekerji ukradli podatke 680 evropskih strank.
- Analitik podjetja Certik Jonathan Riss je opozoril, da stroga pravila KYC ustvarjajo zelo privlačne tarče za kiberkriminalce.
- Regulatorji in fintech platforme, kot je Revolut, bodo morda morali zmanjšati obseg shranjevanja identitetnih podatkov, da bi zmanjšali varnostna tveganja.
Revolut trdi, da ni prejel nobenih neposrednih zahtev
Revolut je sporočil, da ni prejel neposrednega stika ali zahtev s strani nobene skupine, ki bi prevzela odgovornost za nedavni vdore v podatke. Fintech podjetje je to zanikalo manj kot 24 ur po poročilih, da so hekerji zahtevali 6.000 XMR, vrednih 3 milijone dolarjev, da bi preprečili, da bi se nezakonito pridobljene datoteke strank pojavile na trgu.
Fintech podjetje s sedežem v Londonu je v začetku tega meseca potrdilo, da je nepooblaščena tretja stranka pridobila občutljive podatke omejenega števila strank, in sicer z uporabo domene elektronske pošte legitimne vladne agencije za pošiljanje lažnih zahtevkov za podatke. Javne izjave, ki jih je ta teden na spletu objavil heker, ki deluje pod imenom »IAmNotAVillain«, so grozile z objavo ali prodajo podatkov strank, če Revolut ne bi plačal.
»Revolut ni prejel nobenega neposrednega stika ali zahteve s strani posameznikov ali skupine, ki izjavljajo te trditve,« naj bi dejal predstavnik podjetja. Pri tem vdoru, ki je po poročanju zadeval približno 680 premožnih strank po vsej Evropi, ni šlo za neposredno tehnično vdor v osrednje sisteme podjetja Revolut.
Namesto tega so napadalci več mesecev uporabljali socialni inženiring, da so se izdajali za vladne organe in tako pridobili datoteke za preverjanje strank, osebne dokumente in evidence transakcij. Revolut je poudaril, da sredstva strank in notranji sistemi ostajajo varni in niso prizadeti. Podjetje je navedlo, da je ob odkritju vdora blokiralo lažni e-poštni naslov ter incident prijavilo organom pregona, organom za varstvo podatkov in finančnim regulatorjem.
Analitik opozarja na ranljivosti pri KYC
Incident izpostavlja širše sistemske ranljivosti v načinu, kako finančne institucije ravnajo z obveznimi podatki o identiteti. Jonathan Riss, analitik za odprtokodne rešitve in tehnologijo blockchain v varnostnem podjetju Certik, je trdil, da temeljni vzrok sega onkraj obrambnih mehanizmov posameznih podjetij do samih regulativnih zahtev.
»Pravi problem je, da je KYC ustvaril izjemno občutljivo identitetno plast, ki jo morajo finančne platforme vzdrževati, pogosto zato, ker vlade in regulatorji zahtevajo vedno podrobnejše podatke o strankah,« je dejal Riss. »Odgovornost torej ne leži le na bankah, fintech podjetjih ali borzah kriptovalut.«
Po mnenju Rissa morajo tudi javni organi preučiti, ali je vsak podatek, ki ga zahtevajo, resnično nujen in kako dolgo ga je treba hraniti. Preveriti morajo, ali so obstoječi postopki za pridobivanje podatkov o strankah dovolj varni.
Riss je medtem opozoril, da lahko razkritje podrobnih identitetnih datotek v sektorju digitalnih sredstev prinaša povečana tveganja v realnem svetu. »Platforme morajo še vedno čim bolj skrajšati obdobje hrambe, omejiti dostop in okrepiti avtentifikacijo zahtevkov vladnih organov in organov pregona prek neodvisnih kanalov preverjanja,« je dodal Riss.
Medtem ko se bo razprava o taktikah hekerjev nadaljevala, Riss meni, da bi moral ta incident spodbuditi industrijo in regulatorje k ponovnemu premisleku o sedanjem modelu. Cilj ne bi smel biti več omejen le na zaščito denarnic in sredstev; vključevati bi moral tudi zaščito finančnih identitet uporabnikov.
Ta članek je bil iz angleščine preveden z umetno inteligenco. Izvirna angleška različica je verodostojni vir; samodejni prevodi lahko vsebujejo netočnosti, zlasti pri pravni in regulativni terminologiji.
