Revolut (chwalący się 80 mln klientów w ponad 160 krajach), przekazał dane części klientów cyberprzestępcom, którzy podszyli się pod agencję rządową. Teraz cyberprzestępcy publikują skradzione dane klientów i żądają od Revoluta okupu w wysokości 10 000 BTC, czyli ponad 780 mln dolarów. Wśród poszkodowanych mają być także Polacy. Co wyciekło?Wiemy co dokładnie pozyskali oszuści, bo Revolut — kiedy już się zorientował jak bardzo wtopił — wysłał do poszkodowanych powiadomienie. Wynika z niego, że “fintech” przekazał oszustom:imię i nazwisko, datę urodzenia, zawód,adres zamieszkania, e-mail, numer telefonu,skany dokumentów tożsamości: paszport i/lub prawo jazdy,selfie z weryfikacji KYC (procesu potwierdzania tożsamości klienta przy zakładaniu konta),wyciągi z kont wraz z numerami IBAN, historię wypłat oraz pełną historię transakcji, w tym transakcji Bitcoin.Czyli w zasadzie wszystko co miał na temat klienta. Dla przestępców pakiet idealny, aby wyprowadzić bolesne, ukierunkowane ataki na konkretne osoby — nie mówiąc już o utracie prywatności.Revolut nie ujawnił liczby poszkodowanych, mówiąc jedynie o “bardzo ograniczonej” grupie klientów, ale media szacują że chodzi nawet o 680 osób. Znany badacz kryptowalut, ZachXBT, informuje natomiast, że celem byli przede wszystkim zamożni klienci i osoby związane z kryptowalutami. Jedna z osób podająca się za atakującego wskazała, że w ramach ataku pozyskano dane osób z następujących krajów: Polska, Czechy, Niemcy, Hiszpania, Rumunia, Malta, Norwegia, Szwecja, Włoch, Grecja, Austria, Łotwa, Belgia, Estonia, Chorwacja, Irlandia, Słowacja, UK, Słowenia, Monako, Luxemburg, Dania, Turcja, Finlandia, Węgry, Dania, Litwa, Cypr, Portugalia, Bułgaria.Podczas naszych wykładów pt. “Jak Nie Dać Się Zhackować?“, które już niebawem odbędą się w największych polskich miastach, poruszamy temat ochrony prywatności i przekazujemy rady, jak rejestrować się w różnych usługach, aby ograniczyć negatywne skutki takich ataków. Wykład jest przewidziany dla każdego — także dla osób nietechnicznych — więc zabierzcie ze sobą rodziców, dziadków i znajomych spoza IT. Tę wiedzę powinien mieć każdy — a my w ramach jednego wykładu mówimy o wszystkim, co wiedzieć trzeba. Poniżej lista terminów:KRAKÓW, 24 września -- zapisz się tutaj!POZNAŃ, 8 października -- zapisz się tutaj!ŁÓDŹ, 22 października -- zapisz się tutaj!GDAŃSK, 19 listopada -- zapisz się tutaj!WARSZAWA, 3 grudnia -- zapisz się tutaj!Jak wyciekło?Usiądźcie, bo teraz dopiero zacznie się zabawa… Przestępcy użyli skrzynki e-mail należącej do włoskiego systemu PEC (takiej “certyfikowanej poczty elektronicznej”, której wiadomości mają moc prawną jak list polecony). Żądania danych miano kierować do litewskiego Revolut Bank UAB w oparciu o Europejski Nakaz Dochodzeniowy, a metoda polegała na masowym wysyłaniu setek identyfikatorów transakcji krypto z pytaniem, komu przypisane są konta. Wiadomości wyglądały tak: A Revolut odpowiadał na te fałszywe żądania przez 5 miesięcy zanim zorientował się, że coś tu jest nie tak. Media podejrzewają że użyta przez oszustów skrzynka należała do prefektury Reggio Calabria i informują, że od początku roku odnotowano ponad 650 różnych przypadków nielegalnego wykorzystania kont PEC. Jak przejęto urzędową skrzynkę?O tym informują sami atakujący: za pomocą infostealera (złośliwego oprogramowania kradnącego zapisane na zainfekowanym komputerze hasła). Po przejęciu kontroli mieli “monitorować” skrzynkę całą dobę, dodać własny adres do odzyskiwania dostępu i natychmiast kasować wiadomości dotyczące nieautoryzowanych żądań, aby prawdziwy właściciel skrzynki niczego nie zauważył. Uwaga: to deklaracje przestępców, niepotwierdzone przez Revoluta.Metoda “na funkcjonariusza” to nie nowość. FBI i eksperci od lat ostrzegają przed sfałszowanymi pilnymi żądaniami danych od organów ścigania. Dostępy do skrzynek organów ścigania w domenach rządowych sprzedaje się na forach za kilkaset złotych. Dzięki nim przestępcy mogą zarejestrować się w specjalnych interfejsach mediów społecznościowych i żądać w ten sposób w trybie pilnym danych o użytkowniku. Albo wysyłać różne fałszywe prośby o informacje do firm, które — jak Revolut — się na nie nabiorą, bo nie chcą lub nie potrafią takich żądań zweryfikować. Reguła autorytetu FTW!Brak kompetencji po stronie Revoluta?Można by pomyśleć: skoro skrzynka była prawdziwa, to SPF/DKIM/DMARC się zgadzały, nie było spoofingu, więc Revolut nie miał przecież szans na wykrycie, że wnioski są podrobione. Ale włoskie media nie zostawiają na Revolucie suchej nitki. Wskazują, że było wiele znaków, że coś jest nie tak. Żądania podpisywane były “Policją Pocztową”, choć wysyłano je ze skrzynki prefektury (prefektura to nie prokuratura — dop. redakcji ;). Miał im towarzyszyć nakaz sądowy (to on sprawia, że żądanie jest ważne) ale nakazu brakowało, a Revolut się o niego nie upominał. Po prostu realizował fałszywe żądanie za żądaniem. Revolut zapewnia, że systemy i środki klientów nie ucierpiały, a po wykryciu natychmiast zablokowano adres i powiadomiono organy oraz regulatorów. Szantaż i publikacja danychAktualnie oszuści zaczęli publikować część ze skradzionych rekordów i grożą że będą dokładać kolejne rekordy, dopóki Revolut nie zapłaci. W sieci już pojawiły się dane znanych osób, m.in. tenisisty Sewczenko i Felixa Romera, prezesa internetowego kasyna. Włamywacze twierdzą też, że przejęli aż 147 GB danych — ale nie jest to informacja, która została niezależnie potwierdzona. Nie pierwsze Revoluta dojechanieTen atak na Revoluta trochę nam przypomina kampanię grupy Lapsus$ z lat 2021-2022, która przejętymi kontami organów ścigania wyłudzała dane użytkowników Apple, Mety czy Discorda. Ale to też nie pierwszy raz, gdy Revolut traci dane klientów: podobną sprawę opisywaliśmy już na łamach Niebezpiecznika 4 lata temu, gdy phishing na pracownika spowodował kradzież danych dot. 50 150 osób (por. Revolut zhackowany! Pozyskano dane 50 000 użytkowników). Tym razem Revolut nie został “zhackowany” — po prostu uwierzył domenie e-maila i nie sprawdził autentyczności “nakazów”. Pamiętajcie o tym, kiedy kolejnej firmie będziecie przekazywać skan swojego dowodu, paszportu albo selfie… — żeby kogoś zhackować, nie trzeba znaleźć podatności w jego infrastrukturze IT. Czasem wystarczy wysłać e-maila i poprosić, wykorzystując braki w procedurach weryfikacji niektórych typów próśb.