Revolut, глобальный нео-банк с русскими основателями, добровольно передал данные клиентов жуликам, действовавшим от имени суда

Фото: Сгенерировано нейросетью

Кредитное учреждение передавало данные клиентов по поддельным письмам от госструктуры. Запросы поступали по линии спецсвязи, которая оказалась слабо защищена. Теперь хакеры требуют выкуп, иначе выставят данные на продажу.

На днях блокчейн-исследователи заявили, что выявили чувствительную утечку данных в финтех-структуре Revolut. И якобы руководство банка само отправляло в течение нескольких месяцев данные клиентов мошенникам. Банку пришлось признаться.

"Компания Revolut недавно выявила факт мошенничества с использованием подставного лица, в рамках которого неавторизованная третья сторона использовала подлинный адрес электронной почты в домене государственного учреждения для отправки мошеннических запросов о предоставлении информации", — заявили в пресс-службе банка.

Сколько именно клиентов пострадало, не уточняется, однако журналисты утверждают, что речь идет о порядка 700 счетах очень обеспеченных клиентов.

По данным СМИ, в руки мошенников попали даты рождения, почтовые и электронные адреса, номера телефонов, сканы паспортов и водительских прав, история транзакций и селфи для верификации личности клиентов.

Предметом бурного обсуждения случившегося стал не столько факт утечки данных (она не столь масштабна), сколько способ, которым хакеры это провернули.

Суть произошедшего в следующем:

Существует Posta Elettronica Certificata (PEC) — обязательный протокол связи, используемый итальянскими государственными учреждениями для юридически значимой переписки. Выглядит эта связь как обычная электронная почта, по которой в банк приходят письма от госструктур: правительства, правоохранителей, суда.

В течение нескольких месяцев по РЕС в Revolut приходили запросы с требованием предоставить данные об определенных клиентах. Служба безопасности банка одобряла передачу данных, и те высылались.

Никаких сомнений по поводу запросов не возникало, поскольку у банка было системное доверие к защищенной линии государственной связи.

Между тем, как замечают эксперты, учетные записи PEC работают на примитивах электронной почты, практически идентичных устаревшим системам двадцатилетней давности, и безнадежно отстают от современных стандартов нулевого доверия.

Хакерам не составило особого труда создать в системе поддельный аккаунт.

Банк не уточняет, кем именно представился тот, кому сливали информацию. Но СМИ утверждают, что хакер действовал от имени суда.

Затем мошенники, чтобы не вызывать подозрений, делали запросы точечно, требуя лишь по несколько персональных данных за раз.

Неизвестно, каким образом банк выявил утечку.

В Revolut утверждают, что служба безопасности банка сама выявила ее. В соцсетях замечают, что это обнаружение интересным образом совпало с тем, что утечку нашли "белые хакеры".

Есть и третий вариант.

Некая хакерская группировка iamnotavillain заявила, что это она ответственна за кражу данных у Revolut, и потребовала выкуп в 3 миллиона долларов. На своем сайте преступники запустили таймер, когда истекает срок ультиматума.

В соцсетях обсуждают, что банк мог узнать об утечке только после требований вымогателей. Однако в Revolut отрицают, что получали какие-либо прямые требования от злоумышленников.

В компании подчеркнули, что оказывают пострадавшим клиентам "незамедлительную поддержку" и сотрудничают с правоохранительными органами.

Между тем эксперты замечают, что современная кибератака на 70–90% состоит из психологической операции, и только потом — из эксплуатации технологий. Недаром и утечки данных в отечественных сервисах нередко происходят, потому что их продает какой-либо сотрудник компании, имеющий доступ к базе данных.

Также читайте на нашем сайте:

• Как могут выглядеть штрафы за утечку персональных данных клиентов: самый большой маркетплейс Южной Кореи единоразово заплатил больше 1 миллиарда долларов
• Госдума ужесточила наказание за утечку персональных данных. За что полагаются оборотные штрафы?
• Администрация президента не готова снижать штрафы для компаний, допустивших утечки персональных данных
• Какого размера должна быть утечка персональных данных, чтобы компании грозил оборотный штраф?

Интересная новость? А ведь новости гораздо удобнее отслеживать в Telegram или в рамках нашей почтовой рассылки.

Подпишитесь на наш Telegram-канал вот по этой ссылке или на email-рассылку — вот по этой.

Читайте и получайте все самое важное наиболее удобным способом.