ผู้โจมตีที่หลอกลวง Revolut ตอนนี้เรียกร้อง 6,000 XMR

ตามคำกล่าวอ้างของแฮ็กเกอร์ที่ให้สัมภาษณ์แบบเอ็กซ์คลูซีฟกับ Financial Times (FT) Revolut ไม่ได้ทำข้อมูลลูกค้าหายไปเพราะแฮ็กเกอร์เจาะเซิร์ฟเวอร์ของบริษัทได้ ผู้โจมตีเพียง “ขอ” ข้อมูลเท่านั้น โดยปลอมตัวเป็นหน่วยงานบังคับใช้กฎหมายของอิตาลีมาหลายเดือน และใช้งานระบบอีเมลภาครัฐที่ถูกต้องตามกฎหมาย กลุ่มที่เรียกตัวเองว่า iamnotavillain ใช้เวลาหลายเดือนในการร้องขอไฟล์ของผู้ใช้คริปโทเคอร์เรนซีเฉพาะราย

คำกล่าวอ้างของแฮ็กเกอร์ถูกส่งถึงผู้สื่อข่าว FT Tom Wilson, Laith Al-Khalaf และ Amy Kazmin ผ่าน “ชุดข้อความจำนวนหนึ่ง” โดย Revolut ถูกกล่าวหาว่ายอมทำตามคำขอ ส่งบันทึกที่รวมถึงพาสปอร์ต เซลฟี และประวัติธุรกรรม ตอนนี้กลุ่มดังกล่าวบอกว่ามีข้อมูลของราว 680 คน และต้องการ 6,000 โมเนโร (XMR) หรือประมาณ 3 ล้านดอลลาร์ ขณะที่นาฬิกานับถอยหลังสาธารณะข่มขู่ว่าจะส่งมอบไฟล์ยืนยันตัวตนเหล่านั้นให้กับอาชญากรรายอื่น

พวกเขาไม่ได้เจาะเข้าไป พวกเขาแค่ขอ

เหตุข้อมูลรั่วไหลของ Revolut มีรายงานว่าเกิดขึ้นได้เพราะผู้โจมตีถูกกล่าวหาว่าใช้ระบบ Posta Elettronica Certificata หรือ PEC ของอิตาลี ซึ่งเป็นเครือข่ายอีเมลที่ได้รับการรับรอง ใช้สำหรับการสื่อสารด้านกฎหมายและภาครัฐ ข้อความที่ส่งผ่านช่องทางที่ถูกเจาะนั้นมีข้อมูลรับรองการยืนยันโดเมนที่แท้จริง ทำให้ Revolut เห็นอีเมลที่ดูเหมือนมาจากหน่วยงานภาครัฐจริง

และนั่นคือจุดสำคัญ การยืนยันตัวตนสามารถแสดงได้ว่าอีเมลมาจากโดเมนที่ถูกต้องตามกฎหมาย แต่ไม่สามารถพิสูจน์ได้ว่าบุคคลที่อยู่เบื้องหลังบัญชีนั้นเป็นเจ้าหน้าที่ที่ได้รับอนุญาตจริง แทนที่จะเอาชนะระบบความปลอดภัยของ Revolut ผู้โจมตีอ้างว่าได้ฉวยช่องโหว่จากกระบวนการที่ถูกออกแบบมาเพื่อรองรับคำขอของภาครัฐที่ถูกต้องตามกฎหมาย

เหยื่อถูกเลือกมาก่อน

นี่ไม่ใช่การกวาดข้อมูลแบบสุ่ม กลุ่มอ้างว่าใช้การวิเคราะห์แบบออนเชนเพื่อระบุผู้ใช้ Revolut ที่มีกิจกรรมคริปโทเคอร์เรนซีจำนวนมาก จากนั้นจึงร้องขอบันทึกของบุคคลเหล่านั้นโดยระบุชื่อ รายงานของ FT ระบุว่ากลุ่มผู้ได้รับผลกระทบมีราว 680 คนที่ใช้แพลตฟอร์มใน 31 ประเทศ โดยมีจำนวนมากอยู่ในสวิตเซอร์แลนด์และฝรั่งเศส

ไฟล์ดังกล่าวถูกกล่าวหาว่ารวมถึงชื่อ ที่อยู่ หมายเลขโทรศัพท์ รหัสบัญชี การฝากและถอนคริปโท การโอนเงินเฟียต เอกสาร KYC และเซลฟียืนยันตัวตน พูดแบบเข้าใจง่ายคือ กลุ่มนี้ไม่ได้เก็บแค่ข้อมูลติดต่อพื้นฐาน แต่กำลังสร้างชุดข้อมูลยืนยันตัวตนอย่างละเอียดของคนที่พวกเขาเชื่อว่าคุ้มค่าแก่การโจมตี

แล้วก็มาถึงข้อเรียกร้องเป็นโมเนโร

เมื่อวันที่ 16 ก.ย. Iamnotavillain โพสต์คำขาดสาธารณะบนเว็บไซต์ที่ใช้ชื่อเดียวกัน เรียกร้อง 6,000 XMR ซึ่งระบุว่าเทียบเท่าราว 3 ล้านดอลลาร์ ภายใน 24 ชั่วโมง มิฉะนั้นไฟล์ที่ขโมยไปจะถูกขายให้กลุ่มอาชญากรอื่น ก่อนหน้านี้มีการเผยแพร่ข้อเรียกร้อง 10,000 บิตคอยน์ (BTC) บน Telegram แต่ภายหลังกลุ่มอ้างว่าตัวเลขดังกล่าวมาจากผู้แอบอ้างหรืออดีตผู้ร่วมงาน

สำหรับผู้สังเกตการณ์จำนวนมาก การเปลี่ยนมาเรียกร้องเป็นโมเนโร (XMR) ดูสมเหตุสมผลสำหรับการขู่กรรโชก เนื่องจากธุรกรรมบิตคอยน์มองเห็นได้บนบัญชีแยกประเภทสาธารณะ ขณะที่ XMR ถูกออกแบบมาเพื่อปกปิดรายละเอียดธุรกรรม ขณะเดียวกัน Revolut บอกกับสื่อ ว่าไม่ได้รับข้อเรียกร้องโดยตรงจากผู้ที่อ้างความรับผิดชอบในช่วงที่นาฬิกานับถอยหลังปรากฏ ทำให้นาฬิกาดังกล่าวเป็นแคมเปญกดดันต่อสาธารณะพอๆ กับการเจรจา

Revolut ยืนยันว่าระบบและเงินของลูกค้าไม่ได้รับผลกระทบ อาชญากรดูเหมือนไม่ได้เจาะเข้าไปในเครือข่ายแกนหลักของบริษัทหรือดูดเงินออกจากบัญชีลูกค้า ข้อกล่าวอ้างในตอนนี้คือ พวกเขาได้โน้มน้าวให้ Revolut ส่งมอบข้อมูลผ่านสิ่งที่ดูเหมือนคำขออย่างเป็นทางการที่ถูกต้องตามกฎหมาย

แต่นั่นไม่ได้ทำให้บันทึกที่ถูกขโมยไป “ไม่อันตราย” พาสปอร์ต เซลฟี ที่อยู่บ้าน หมายเลขโทรศัพท์ และประวัติธุรกรรม สามารถถูกนำไปใช้เพื่อการสวมรอย การรีเซ็ตบัญชี การโทรหลอกเป็นฝ่ายซัพพอร์ต และการโจมตีต่อเนื่องกับบริการการเงินอื่นๆ อันตรายที่แท้จริงไม่ใช่แค่ว่าอะไรถูกเอาไปจาก Revolut แต่คือ ไฟล์เหล่านั้นอาจปลดล็อกอะไรได้อีกในที่อื่น.

ปัญหาที่ใหญ่กว่าคือช่องทางความน่าเชื่อถือของ KYC

Revolut บอกกับ Techcrunch เมื่อวันที่ 12 ก.ย. ว่าได้ระบุการหลอกลวงจากการปลอมตัวแล้ว บล็อกที่อยู่นั้น และแจ้งหน่วยงานที่เกี่ยวข้อง เจ้าหน้าที่บังคับใช้กฎหมาย และหน่วยงานกำกับดูแล ขณะนี้ผู้สืบสวนกำลังตรวจสอบว่าช่องทางการสื่อสารของภาครัฐที่ถูกต้องตามกฎหมายกลายมาเป็นส่วนหนึ่งของปฏิบัติการได้อย่างไร

นั่นทำให้เกิดคำถามที่น่าอึดอัดใจซึ่งกว้างไปกว่าบริษัทเงินดิจิทัลรายนี้เอง หากกล่องจดหมายภาครัฐที่ถูกเจาะเพียงกล่องเดียวสามารถสร้างคำขอข้อมูลที่น่าเชื่อถือได้ต่อเนื่องเป็นเดือน สถาบันคริปโทอื่นๆ อาจได้รับข้อความลักษณะเดียวกัน ผู้โจมตีไม่ได้งัด “ห้องนิรภัย” แต่ทำให้ตัวเองดูเหมือนเป็นคนที่มีสิทธิ์ตามกฎหมายในการขอให้เปิดมัน