Những kẻ tấn công đã lừa đảo Revolut hiện đang đòi 6.000 XMR

Theo các hacker trong cuộc phỏng vấn độc quyền với Financial Times (FT), Revolut không bị mất dữ liệu khách hàng do hacker xâm nhập vào máy chủ của họ. Những kẻ tấn công chỉ đơn giản là yêu cầu được cung cấp thông tin đó. Giả danh cơ quan thực thi pháp luật Ý trong nhiều tháng và sử dụng hệ thống email chính phủ hợp pháp, một nhóm tự xưng là iamnotavillain đã dành nhiều tháng để yêu cầu các tệp tin về những người dùng tiền điện tử cụ thể.

Các tuyên bố của nhóm hacker được đưa ra với các phóng viên FT Tom Wilson, Laith Al-Khalaf và Amy Kazmin qua “một loạt tin nhắn”. Revolut được cho là đã tuân thủ các yêu cầu này, gửi các hồ sơ bao gồm hộ chiếu, ảnh tự chụp và lịch sử giao dịch. Hiện tại, nhóm này tuyên bố họ đang nắm giữ dữ liệu của khoảng 680 người và đòi 6.000 monero (XMR), tương đương khoảng 3 triệu USD, trong khi một đồng hồ đếm ngược công khai đe dọa sẽ chuyển các tệp thông tin nhận dạng này cho các tội phạm khác.

Họ không đột nhập. Họ đã yêu cầu

Vụ vi phạm dữ liệu của Revolut được cho là đã thành công vì những kẻ tấn công được cho là đã sử dụng hệ thống Posta Elettronica Certificata (PEC) của Ý, một mạng lưới email được chứng nhận dùng cho các liên lạc pháp lý và chính phủ. Các tin nhắn được gửi qua kênh bị xâm nhập này mang theo thông tin xác thực tên miền chính hãng, do đó Revolut đã nhận được email trông giống như đến từ một cơ quan chính phủ thực sự.

Đó chính là mưu mẹo. Xác thực có thể cho thấy email đến từ một tên miền hợp pháp, nhưng không thể chứng minh người đứng sau tài khoản đó thực sự là một quan chức được ủy quyền. Thay vì đánh bại các hệ thống bảo mật của Revolut, những kẻ tấn công tuyên bố đã khai thác quy trình được thiết kế để xử lý các yêu cầu hợp pháp từ chính phủ.

Các nạn nhân đã được chọn trước

Đây không phải là một vụ đánh cắp dữ liệu ngẫu nhiên. Nhóm này tuyên bố đã sử dụng phân tích trên chuỗi (on-chain) để xác định người dùng Revolut có hoạt động tiền điện tử đáng kể, sau đó yêu cầu hồ sơ về những người này theo tên. Báo cáo của FT cho biết nhóm bị ảnh hưởng gồm khoảng 680 người sử dụng nền tảng này tại 31 quốc gia, với nhiều người ở Thụy Sĩ và Pháp.

Các tệp tin được cho là bao gồm tên, địa chỉ, số điện thoại, ID tài khoản, các khoản nạp và rút tiền điện tử, chuyển khoản tiền pháp định, tài liệu KYC và ảnh tự chụp để xác minh danh tính. Nói một cách dễ hiểu, nhóm này không chỉ thu thập thông tin liên lạc cơ bản. Chúng đang xây dựng các hồ sơ danh tính chi tiết về những người mà chúng cho là đáng để nhắm đến.

Sau đó là yêu cầu về Monero

Vào ngày 16 tháng 9, Iamnotavillain đã đăng một tối hậu thư công khai trên một trang web có tên như vậy, yêu cầu 6.000 XMR, tương đương khoảng 3 triệu USD, trong vòng 24 giờ, nếu không các tệp tin bị đánh cắp sẽ bị bán cho các nhóm tội phạm khác. Trước đó, một yêu cầu 10.000 bitcoin (BTC) đã được lan truyền trên Telegram, nhưng nhóm này sau đó đổ lỗi cho một kẻ mạo danh hoặc cựu cộng sự về con số đó.

Đối với nhiều nhà quan sát, việc chuyển sang sử dụng Monero (XMR) là hợp lý cho một yêu cầu tống tiền. Các giao dịch Bitcoin có thể được theo dõi trên sổ cái công khai, trong khi XMR được thiết kế để che giấu chi tiết giao dịch. Trong khi đó, Revolut cho biết với báo chí rằng họ chưa nhận được yêu cầu trực tiếp nào từ những kẻ nhận trách nhiệm khi đồng hồ đếm ngược xuất hiện, khiến việc đếm ngược này trở thành một chiến dịch gây áp lực công khai không kém phần đàm phán.

Revolut khẳng định hệ thống và tiền của khách hàng không bị ảnh hưởng. Các tội phạm dường như không xâm nhập vào mạng lưới cốt lõi của công ty hay rút cạn tài khoản khách hàng. Lời khẳng định hiện tại là họ được cho là đã thuyết phục Revolut bàn giao thông tin thông qua những yêu cầu trông giống như các yêu cầu chính thức hợp pháp.

Điều đó không có nghĩa là các hồ sơ bị đánh cắp là vô hại. Hộ chiếu, ảnh tự chụp, địa chỉ nhà, số điện thoại và lịch sử giao dịch có thể được sử dụng để mạo danh, đặt lại mật khẩu tài khoản, thực hiện các cuộc gọi hỗ trợ giả mạo và các cuộc tấn công tiếp theo nhằm vào các dịch vụ tài chính khác. Nguy cơ thực sự không chỉ nằm ở những gì đã bị lấy đi từ Revolut, mà còn ở những gì các tệp tin đó có thể gây ra ở nơi khác.

Vấn đề lớn hơn là kênh tin cậy KYC

Revolut đã thông báo với TechCrunch vào ngày 12 tháng 9 rằng họ đã phát hiện ra vụ lừa đảo mạo danh, chặn địa chỉ liên quan và thông báo cho các cơ quan chức năng, cơ quan thực thi pháp luật và cơ quan quản lý. Các nhà điều tra hiện đang làm rõ cách thức một kênh liên lạc chính thức của chính phủ lại trở thành một phần của hoạt động này.

Điều này đặt ra một câu hỏi đáng lo ngại vượt ra ngoài phạm vi của chính công ty tiền điện tử này. Nếu một hộp thư chính phủ bị xâm nhập có thể tạo ra hàng tháng trời các yêu cầu thông tin thuyết phục, thì các tổ chức tiền điện tử khác có thể cũng đã nhận được những tin nhắn tương tự. Những kẻ tấn công không phải là đã đột nhập vào kho tiền. Chúng chỉ giả mạo thành những người được phép hợp pháp yêu cầu mở kho tiền đó.