Η Revolut ανακοίνωσε περιστατικό ασφαλείας κατά το οποίο διαρρεύσαν ευαίσθητα προσωπικά και οικονομικά δεδομένα πελατών της, ύστερα από απάτη κοινωνικής μηχανικής. Η διαρροή προκλήθηκε όταν η εταιρεία ανταποκρίθηκε σε πλαστό αίτημα παροχής πληροφοριών, το οποίο εμφανιζόταν να προέρχεται από επίσημη κυβερνητική υπηρεσία.
Revolut: Μηχανισμός της επίθεσης και εκτεθειμένα στοιχεία
Σύμφωνα με τη Revolut, τα εσωτερικά της συστήματα και οι λογαριασμοί των χρηστών δεν παραβιάστηκαν απευθείας. Οι επιτιθέμενοι χρησιμοποίησαν μη εξουσιοδοτημένο λογαριασμό ηλεκτρονικού ταχυδρομείου που λειτουργούσε υπό το επίσημο domain κυβερνητικού φορέα. Καθώς το μήνυμα έφερε έγκυρα διαπιστευτήρια αυθεντικοποίησης domain, η εταιρεία υπέθεσε ότι επρόκειτο για νόμιμο αίτημα και απέστειλε τα ζητούμενα στοιχεία.
Τα δεδομένα που διαρρεύσαν περιλαμβάνουν έγγραφα ταυτοποίησης KYC (Know Your Customer), όπως αντίγραφα διαβατηρίων και αδειών οδήγησης, φωτογραφίες επαλήθευσης προσώπου, καθώς και πλήρη ονοματεπώνυμα, ημερομηνίες γέννησης, διευθύνσεις και τηλέφωνα.
Παράλληλα, εκτέθηκαν οικονομικά στοιχεία, όπως βεβαιώσεις λογαριασμών με IBAN, καταστάσεις κινήσεων και το πλήρες ιστορικό συναλλαγών, συμπεριλαμβανομένων δραστηριοτήτων σε κρυπτονομίσματα όπως το Bitcoin.
Κίνδυνοι και μέτρα προστασίας
Αν και η εταιρεία διαβεβαίωσε ότι τα κεφάλαια των πελατών παραμένουν ασφαλή και προέβη στον αποκλεισμό της πηγής, η έκθεση τέτοιων εγγράφων δημιουργεί σοβαρούς κινδύνους κλοπής ταυτότητας, επιθέσεων phishing, SIM-swapping και στοχευμένης απάτης. Ιδιαίτερα οι χρήστες με υψηλή δραστηριότητα σε κρυπτονομίσματα καθίστανται πιθανοί στόχοι εγκληματικών ενεργειών.
Το περιστατικό αναδεικνύει την ανάγκη για ανεξάρτητη επαλήθευση αιτημάτων υψηλού κινδύνου μέσω εναλλακτικών καναλιών επικοινωνίας, καθώς η απλή αυθεντικοποίηση domain δε διασφαλίζει τη νομιμότητα του αποστολέα.
