Revolut, 3 milyon dolarlık fidye talebiyle ilgili olduğu iddia edilen hacker teması iddialarını yalanladı

Revolut: Doğrudan Talep Alınmadı

Revolut, son veri ihlalinden sorumlu olduğunu iddia eden herhangi bir gruptan doğrudan bir iletişim veya talep almadığını açıkladı. Fintech şirketinin bu yalın açıklaması, hackerların yasadışı olarak erişilen müşteri dosyalarının piyasaya sızmasını önlemek için 3 milyon dolar değerinde 6.000 XMR talep ettiklerine dair haberlerin yayınlanmasından 24 saatten az bir süre sonra geldi.

Londra merkezli fintech şirketi, bu ayın başlarında yetkisiz bir üçüncü tarafın, sahte veri taleplerinde bulunmak için meşru bir devlet kurumunun e-posta alan adını kullanarak sınırlı sayıda müşteriye ait hassas bilgileri ele geçirdiğini doğrulamıştı. “IAmNotAVillain” adıyla faaliyet gösteren bir hacker tarafından bu hafta çevrimiçi olarak yayınlanan kamuoyuna yönelik açıklamalarda, Revolut ödeme yapmazsa müşteri verilerinin yayınlanacağı veya satılacağı tehdidinde bulunuldu.

Bir şirket sözcüsünün “Revolut, bu iddiaları ortaya atan kişi veya gruptan herhangi bir doğrudan iletişim veya talep almadı” dediği aktarıldı. Avrupa genelinde yaklaşık 680 yüksek net değerli müşteriyi hedef aldığı bildirilen bu sızıntı, Revolut’un temel sistemlerine doğrudan teknik bir saldırı içermiyordu.

Bunun yerine saldırganlar, birkaç ay boyunca sosyal mühendislik yöntemlerini kullanarak devlet yetkilileri gibi davranmış ve müşteri doğrulama dosyaları, kimlik belgeleri ile işlem kayıtlarını ele geçirmişlerdir. Revolut, müşteri fonlarının ve iç sistemlerin güvenli ve etkilenmemiş durumda olduğunu vurguladı. Şirket, ihlali tespit eder etmez sahte e-posta adresini engellediğini ve olayı kolluk kuvvetlerine, veri koruma yetkililerine ve finansal düzenleyicilere bildirdiğini açıkladı.

Analist, KYC güvenlik açıklarına karşı uyarıyor

Bu olay, finansal kurumların zorunlu kimlik verilerini işleme biçimindeki daha geniş kapsamlı sistemik güvenlik açıklarını ortaya koyuyor. Güvenlik firması Certik’te açık kaynak ve blok zinciri istihbarat analisti olarak görev yapan Jonathan Riss, sorunun temel nedeninin tek tek şirketlerin savunma mekanizmalarının ötesinde, düzenleyici gerekliliklerin kendisinde yattığını savundu.

Riss, “Asıl sorun, KYC’nin finansal platformların sürdürmek zorunda olduğu son derece hassas bir kimlik katmanı yaratmış olmasıdır; bunun nedeni genellikle hükümetlerin ve düzenleyicilerin giderek daha ayrıntılı müşteri bilgileri talep etmesidir,” dedi. “Dolayısıyla sorumluluk sadece bankalara, fintech şirketlerine veya kripto para borsalarına ait değildir.”

Riss’e göre, kamu otoriteleri de talep ettikleri her bilginin gerçekten gerekli olup olmadığını ve ne kadar süreyle saklanması gerektiğini değerlendirmelidir. Müşteri verilerini talep etmeye yönelik mevcut prosedürlerin yeterince güvenli olup olmadığını da sorgulamalıdırlar.

Riss, öte yandan, ayrıntılı kimlik dosyalarının ifşa edilmesinin dijital varlık sektöründe gerçek dünyada daha yüksek riskler doğurabileceğine dikkat çekti. “Platformlar yine de veri saklama süresini en aza indirmeli, erişimi kısıtlamalı ve bağımsız doğrulama kanalları aracılığıyla hükümet ve kolluk kuvvetlerinin taleplerine ilişkin kimlik doğrulamasını güçlendirmelidir,” diye ekledi Riss.

Hackerların taktikleri hakkındaki tartışmalar devam edecek olsa da, Riss bu olayın sektör ve düzenleyicileri mevcut modeli yeniden düşünmeye sevk etmesi gerektiğine inanıyor. Hedef artık sadece cüzdanları ve fonları korumakla sınırlı kalmamalı; kullanıcıların finansal kimliklerini korumayı da içermelidir.