A Revolut útlevéladatokat, azonosításhoz használt szelfiket, lakcímeket és teljes tranzakciós előzményeket adott át kiberbűnözőknek, miután egy hamis megkeresést valódi hatósági adatkérésnek hitt. Az incidens bitcoin-tranzakciókat is érintett, az ügyfelek pénze azonban nem került veszélybe.

A hamis megkeresés egy valódi kormányzati szervtől érkező kérés benyomását keltette, és olyan hitelesítő adatokat tartalmazott, amelyek átmentek a Revolut belső ellenőrzésein. A digitális bank ezért kiadta a kért ügyféladatokat. Később külön felvette a kapcsolatot az érintett hatósággal, és ekkor derült ki, hogy a kérés nem volt valódi.

Az érintett ügyfeleknek küldött értesítések szerint a kiszolgáltatott adatok között útlevelek és vezetői engedélyek, azonosító szelfik, nevek, születési dátumok, foglalkozási adatok, lakcímek, e-mail-címek, telefonszámok és nemzetközi számlaszámok (IBAN) is szerepeltek. Emellett bankszámlakivonatok, pénzfelvételi adatok és teljes tranzakciós előzmények is illetéktelen kézbe kerülhettek, köztük a bitcoinhoz kapcsolódó tranzakciók adatai is.

A Revolut egyelőre nem közölte, pontosan hány ügyfelet érintett az incidens. A vállalat szerint az ügyfelek pénze biztonságban van. Az eset felismerése után blokkolták a megkeresés forrását, értesítették az érintett ügyfeleket, valamint felvették a kapcsolatot az illetékes hatóságokkal és szabályozó szervekkel.

A történtek alapján nem a Revolut rendszereinek feltörése jelentette a problémát, hanem a megkeresés hitelességének ellenőrzése. Miután a hamis kérés átjutott a belső kontrollokon, az elkövető hozzáférhetett azokhoz a részletes személyes adatokhoz, amelyeket a Revolut az ügyfélazonosítási és megfelelőségi előírások miatt tart nyilván.

Az ilyen támadások felismerését az is nehezíti, hogy a mesterséges intelligenciával egyre könnyebb hitelesnek tűnő e-maileket, dokumentumokat és hivatalos megkereséseket készíteni. Ezzel párhuzamosan a pénzügyi szolgáltatók egyre részletesebb adatokat tárolnak ügyfeleik személyazonosságáról, lakóhelyéről és pénzügyi tevékenységéről.

Az incidens ezért az adatvédelmi technológiák gyakorlati szerepét is előtérbe helyezi. A zéró tudású bizonyítások, vagyis a zero-knowledge proofok lehetővé tehetik például annak igazolását, hogy valaki átesett a szükséges személyazonosság-ellenőrzésen vagy megfelel egy előírt feltételnek anélkül, hogy ehhez az útlevél, a lakcím vagy más érzékeny adat teljes tartalmát meg kellene osztani.

A bitcoin esetében különösen komoly kockázatot jelenthet, ha a személyes és a tranzakciós adatok összekapcsolhatók. A Bitcoin blokklánca nyilvánosan rögzíti a tranzakciókat, de önmagában nem tartalmaz olyan személyes adatokat, mint az útlevéladatok, a lakcím vagy a foglalkozás. Egy pénzügyi közvetítő ügyfél-adatbázisa viszont kapcsolatot teremthet a blokkláncon látható tevékenység és egy konkrét személy között.

Ha ezek az adatok illetéktelen kézbe kerülnek, az érintett személy blokkláncon végzett tevékenysége is azonosíthatóvá válhat. Ez azért jelent különösen komoly kockázatot, mert a megszerzett információk alapján rosszindulatú szereplők célba vehetik a jelentős bitcoin vagyonnal rendelkező ügyfeleket.

Az esetre ZachXBT onchain nyomozó is felhívta a figyelmet. Egy Telegramon közzétett bejegyzésében azt írta, hogy az incidens az eddigi információk alapján korlátozott számú ügyfelet érinthetett, és elképzelhető, hogy a támadók kifejezetten nagy vagyonnal rendelkező felhasználókat céloztak.

Az ügy így túlmutat azon, hogy egy pénzügyi szolgáltató mennyire képes megvédeni a már begyűjtött adatokat. Ugyanilyen lényeges kérdés, hogy mennyi érzékeny személyes információt indokolt egyáltalán összegyűjteni, meddig szükséges megőrizni, és milyen esetekben szabad továbbadni.

(forrás)