Зловмисники, які обдурили Revolut, тепер вимагають 6 000 XMR

За словами хакерів, які дали ексклюзивне інтерв’ю Financial Times (FT), Revolut не втратив дані клієнтів через злом серверів. Зловмисники просто попросили надати їх. Видаючи себе за представників італійських правоохоронних органів протягом кількох місяців і використовуючи легітимну урядову електронну пошту, угруповання, яке називає себе iamnotavillain, протягом кількох місяців запитувало файли щодо конкретних користувачів криптовалюти.

Заяви хакерів були зроблені журналістам FT Тому Вілсону, Лаїту Аль-Халафу та Емі Казмін у «серії повідомлень». Revolut, як стверджується, виконала ці запити, надіславши записи, що містили паспорти, селфі та історію транзакцій. Зараз група заявляє, що має дані про близько 680 осіб і вимагає 6 000 монеро (XMR), що становить приблизно 3 мільйони доларів, а публічний лічильник часу погрожує передати ці файли з особистими даними іншим злочинцям.

Вони не зламали систему. Вони просто попросили

Як повідомляється, витік даних Revolut став можливим завдяки тому, що зловмисники нібито скористалися італійською системою Posta Elettronica Certificata (PEC) — мережею сертифікованої електронної пошти, що використовується для юридичного та урядового листування. Повідомлення, надіслані через скомпрометований канал, містили справжні дані автентифікації домену, тому Revolut сприймав ці листи як такі, що надійшли від справжнього державного органу.

У цьому й полягала пастка. Аутентифікація могла підтвердити, що електронний лист надійшов із законного домену, але не могла довести, що особа, яка стоїть за цим обліковим записом, насправді є уповноваженим посадовцем. Замість того, щоб обійти системи безпеки Revolut, зловмисники стверджують, що скористалися процесом, призначеним для обробки законних урядових запитів.

Жертв було обрано заздалегідь

Це не було випадковим викраденням даних. Група стверджує, що використовувала аналіз ланцюга блоків для виявлення користувачів Revolut із значною активністю у сфері криптовалют, а потім запитувала дані про цих людей за іменами. У репортажі FT зазначено, що група постраждалих налічувала приблизно 680 осіб, які користувалися платформою у 31 країні, причому багато хто з них — у Швейцарії та Франції.

Файли нібито містили імена, адреси, номери телефонів, ідентифікатори рахунків, депозити та зняття криптовалюти, перекази у фіатній валюті, документи KYC та селфі для верифікації. Простіше кажучи, зловмисники не збирали лише базову контактну інформацію. Вони формували детальні пакети даних про особу тих людей, яких вважали вартими уваги.

Потім з’явилася вимога щодо Monero

16 вересня Iamnotavillain опублікував публічний ультиматум на веб-сайті з такою ж назвою, вимагаючи 6 000 XMR (що становить приблизно 3 мільйони доларів) протягом 24 годин, інакше вкрадені файли будуть продані іншим злочинним угрупованням. Раніше в Telegram поширювалася вимога про виплату 10 000 біткойнів (BTC), але пізніше група звинуватила в цій цифрі самозванця або колишнього спільника.

На думку багатьох спостерігачів, перехід на монеро (XMR) має сенс для вимагання викупу. Транзакції з біткойнами відображаються у публічному реєстрі, тоді як XMR розроблено для приховування деталей транзакцій. Тим часом компанія Revolut повідомила пресі, що не отримувала жодних прямих вимог від осіб, які взяли на себе відповідальність, коли з’явився відлік часу, що робить цей відлік не лише засобом тиску на громадськість, а й засобом переговорів.

Revolut стверджує, що його системи та кошти клієнтів не постраждали. Злочинці, судячи з усього, не проникли в основну мережу компанії й не вивели кошти з рахунків клієнтів. За наявними даними, вони нібито переконали Revolut передати інформацію за допомогою запитів, що виглядали як законні офіційні звернення.

Це не робить викрадені записи нешкідливими. Паспорт, селфі, домашня адреса, номер телефону та історія транзакцій можуть бути використані для підробки особи, скидання паролів, фальшивих дзвінків до служби підтримки та подальших атак на інші фінансові сервіси. Справжня небезпека полягає не лише в тому, що було викрадено з Revolut, а й у тому, що ці файли можуть відкрити доступ до інших ресурсів.

Більша проблема — канал довіри KYC

12 вересня Revolut повідомила TechCrunch, що виявила шахрайство з підробкою особи, заблокувала адресу та повідомила про це відповідні органи, правоохоронні служби та регуляторні органи. Зараз слідчі з’ясовують, як законний урядовий канал зв’язку став частиною цієї операції.

Це залишає незручне питання, що виходить за межі самої компанії, яка працює з цифровими валютами. Якщо одна зламана урядова поштова скринька могла генерувати місяці переконливих запитів на інформацію, інші криптоінституції, можливо, також отримували подібні повідомлення. Зловмисники не зламали сховище. Вони просто видавали себе за осіб, яким законно дозволено вимагати його відкриття.