Banka nije hakovana, sama je dala podatke: Procurili pasoši, računi i transakcije stotina korisnika

Jedna od najvećih evropskih digitalnih finansijskih kompanija našla se u centru ozbiljnog bezbednosnog incidenta nakon što su poverljivi podaci stotina korisnika završili u rukama prevaranata.

Međutim, ono što ovaj slučaj čini posebno neobičnim jeste način na koji su podaci procureli.

Teme za vas

Napadači, prema dosadašnjim informacijama, nisu provalili u informatičke sisteme Revoluta. Umesto toga, predstavili su se kao predstavnici državne institucije i poslali zahteve za dostavljanje podataka koristeći adresu sa legitimnog domena jednog državnog organa.

Zahtevi su izgledali dovoljno uverljivo da Revolut na njih odgovori  i preda podatke. Prema najnovijim informacijama, pogođeno je oko 680 korisnika.

Od pasoša do bankovnih transakcija

Količina potencijalno kompromitovanih informacija čini slučaj posebno ozbiljnim.

Među podacima koji su mogli biti predati neovlašćenoj strani nalaze se imena i prezimena korisnika, datumi rođenja, kućne i imejl adrese i brojevi telefona. I tu se lista ne završava, kako navodi T-portal pozivajući se na svetske medije.

Mogli su biti izloženi i pasoši i vozačke dozvole, fotografije koje su korisnici napravili prilikom potvrđivanja identiteta, izvodi sa računa, IBAN brojevi, podaci o podizanju novca i istorija transakcija.

Kod pojedinih korisnika kompromitovani podaci mogli su da obuhvate i istoriju transakcija bitkoinom.

Kompanija je pogođene korisnike kontaktirala direktno.

Prevaranti iskoristili ono čemu kompanije veruju

Upravo način na koji je napad izveden otvara mnogo šire pitanje bezbednosti finansijskog sektora.

Prema navodima Revoluta, neovlašćena osoba koristila je legitimni domen državne institucije kako bi podnela lažne zahteve za informacije.

Kompanija je incident opisala kao sofisticiranu eksternu prevaru zasnovanu na lažnom predstavljanju.

Drugim rečima, napadači nisu morali da probijaju digitalne zidove banke - iskoristili su poverenje koje postoji prema komunikaciji koja dolazi sa zvaničnog državnog domena.

Nakon što je prevara otkrivena, sporna imejl adresa je blokirana, a obavešteni su državna institucija čiji je domen iskorišćen, policija, regulatorna tela za zaštitu podataka i finansijski regulatori.

Britanska Kancelarija poverenika za informacije (ICO) pokrenula je istragu nakon što je Revolut prijavio incident.

Novac korisnika nije ugrožen

Važna razlika jeste da, prema tvrdnjama kompanije, nije došlo do upada u njene interne sisteme.

Revolut navodi i da sredstva korisnika nisu bila ugrožena.

To, međutim, ne umanjuje potencijalnu vrednost podataka koji su dospeli u pogrešne ruke.

Kombinacija identifikacionih dokumenata, adrese, fotografije, IBAN-a i istorije transakcija može predstavljati veoma vredan materijal za krađu identiteta i buduće, mnogo preciznije prevare.

Napadači koji znaju koju banku osoba koristi, kako izgleda njen račun i kakve transakcije obavlja mogu da naprave znatno uverljiviju lažnu poruku od običnog nasumičnog fišing mejla.

Prete objavljivanjem podataka

Slučaj je u međuvremenu dobio još ozbiljniji nastavak. Osobe koje tvrde da stoje iza incidenta zapretile su objavljivanjem kompromitovanih podataka ukoliko im ne bude plaćena otkupnina.

Deo materijala je, prema medijskim izveštajima, već počeo da se pojavljuje na internetu.

Među pogođenima je i Mark Karpeles, nekadašnji direktor propale kripto-berze Mt. Gox, koji je javno potvrdio da je dobio obaveštenje o kompromitovanju svojih podataka.

Šta su pouke iz ovog slučaja?

Revolut danas ima više od 80 miliona korisnika širom sveta, pa je oko 680 trenutno identifikovanih slučajeva relativno mali deo njegove ukupne baze. Ali broj korisnika ovde možda i nije najvažniji deo priče.

Incident pokazuje da jedna od najvećih slabosti finansijskih sistema više ne mora da bude softver. Dovoljno uverljiva poruka, poslata sa adrese kojoj zaposleni imaju razloga da veruju, može da zaobiđe tehnološku zaštitu bez hakovanja same banke.

U ovom slučaju prevaranti nisu morali da ukradu podatke iz sistema, uspeli su da navedu sistem da im ih preda.

(Telegraf Biznis/T-portal)