Revolut отдала данные хакерам под видом госоргана
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Цифровой банк Revolut оказался жертвой сложной мошеннической схемы: злоумышленники представились государственным ведомством и добились передачи конфиденциальных данных клиентов. Компания сообщила TechCrunch, что получила поддельные запросы с адреса на домене, который выглядел как принадлежащий легитимному государственному учреждению.
Речь могла идти о полиции, налоговой службе или другом органе, имеющем законные полномочия требовать сведения у финансовых организаций. Неясно, получили ли преступники доступ к настоящему государственному почтовому ящику или лишь убедительно подделали его адрес. В любом случае проверка запроса со стороны Revolut оказалась недостаточной.
По данным Cybernews, среди скомпрометированных сведений могут быть даты рождения, почтовые и электронные адреса, телефоны, профессия и копии документов, удостоверяющих личность. TechCrunch дополнительно сообщил о возможной утечке селфи для верификации, выписок по счетам, IBAN, истории операций, данных о снятии средств и транзакциях с Bitcoin. Компании пока не подтвердили полный состав утечки.
Если эти сведения подтвердятся, для Revolut это будет не обычное уведомление о нарушении безопасности, а крайне серьёзный провал защиты цифровой идентичности. Эксперт по кибербезопасности Muhammad Yahya Patel, vCISO и советник Huntress, заявил, что такой набор данных фактически превращается в готовый комплект для кражи личности. С его помощью злоумышленники могут выдавать себя за клиента, открывать счета на его имя и обходить проверки в других финансовых организациях.
После обнаружения инцидента Revolut заблокировала адрес, уведомила соответствующее государственное ведомство, правоохранительные органы, регуляторов по защите данных и финансовые надзорные структуры. Точное число пострадавших неизвестно. Банк называет его «очень ограниченным» и утверждает, что уже уведомил всех затронутых клиентов.
По данным Coin Bureau, преступники начали публиковать часть сведений в Telegram, пытаясь вынудить Revolut заплатить выкуп. Издание показало скриншоты, на которых, предположительно, были размещены селфи и полный пакет KYC-данных руководителя криптовалютного казино. KYC — процедура проверки личности клиента. Хакеры якобы требуют 10 000 BTC за удаление информации. При указанной в сообщении оценке Bitcoin это около 780 млн долларов — сумма, выглядящая чрезмерной даже для криминального рынка.
Patel отметил, что для финтех-компании, работающей с цифровой идентификацией, проверка запросов третьих лиц должна быть особенно строгой. Главный вопрос, по его словам, не в том, почему злоумышленники попытались обмануть банк, а в том, почему регулируемая финансовая организация не смогла вовремя проверить подлинность запроса. Расследование продолжается, а окончательный масштаб инцидента и факт публикации всех перечисленных данных ещё требуют подтверждения.
PEREC.RU
Материал сообщает о возможной утечке данных клиентов цифрового банка Revolut после того, как злоумышленники выдали себя за государственное ведомство. Они направили компании фиктивные запросы на раскрытие информации, используя электронный адрес на домене, связанном с легитимным госорганом. Неясно, был ли настоящий почтовый ящик взломан или адрес подделали.
По данным Cybernews, среди потенциально переданных сведений находятся даты рождения, почтовые и электронные адреса, профессия, номера телефонов и копии документов, удостоверяющих личность. TechCrunch добавил, что могли быть затронуты селфи для верификации, банковские выписки, IBAN, история транзакций, записи о снятии средств и операции с Bitcoin. Полный состав утечки пока официально не установлен.
Revolut заявила, что после обнаружения схемы заблокировала адрес, уведомила соответствующее государственное учреждение, правоохранительные органы, органы по защите данных и финансовых регуляторов. Компания не раскрыла число пострадавших, назвав его «очень ограниченным», и сообщила, что уже уведомила всех затронутых клиентов.
По информации Coin Bureau, преступники начали публиковать сведения в Telegram, чтобы оказать давление на Revolut и добиться выплаты выкупа. Они якобы требуют 10 000 BTC за удаление данных. В пересчёте по приведённой оценке это примерно 780 млн долларов. Издание показало скриншоты предполагаемой публикации селфи и полного KYC-пакета руководителя криптовалютного казино. KYC — процедура проверки личности клиента.
Эксперт по кибербезопасности Muhammad Yahya Patel из Huntress заявил, что сочетание паспортов или водительских удостоверений, селфи, выписок, истории операций, дат рождения и адресов представляет собой не обычный набор отдельных утечек, а практически готовый комплект для кражи личности. Такие сведения могут использоваться для выдачи себя за другого человека, открытия счетов на его имя и обхода проверок в других финансовых организациях.
Patel подчеркнул: компания, работающая с цифровой идентификацией, должна особенно тщательно проверять запросы от третьих лиц. Поэтому главный вопрос связан не только с действиями атакующих, но и с тем, почему внутренние процедуры Revolut не распознали подозрительный запрос. При этом окончательный масштаб инцидента, полный список затронутых данных и подлинность опубликованных материалов ещё требуют подтверждения.
