Revolut nije hakiran u klasičnom smislu. Revolut je prevaren.
Prema pisanju više medija, među njima Bug.hr, Financije.hr, Guardiana i Financial Timesa, napadači su se lažno predstavili kao državna institucija.
Koristeći se službenom adresom elektroničke pošte jedne talijanske državne ustanove, Revolutu su poslali naizgled legitimne službene zahtjeve za dostavu podataka o korisnicima.
Revolut je na te zahtjeve odgovorio onako kako se od regulirane financijske institucije i očekuje kada joj se javi nadležno tijel. Dostavio je tražene informacije.
Problem je bio u tome što s druge strane nije bila država, nego prevaranti.
Što se točno dogodilo
Revolut je potvrdio da je bio meta, kako su to sami opisali, sofisticirane prijevare lažnim predstavljanjem.
Ključno je da napadači, prema navodima tvrtke, nisu prodrli u informatičke sustave Revoluta niti su ugrozili sredstva klijenata.
Nije bilo proboja u infrastrukturu, nije bilo zlonamjernog koda, nije bilo ukradenih lozinki.
No, iskorišten je legitiman kanal komunikacije između financijskih institucija i državnih tijela, onaj kojim policija, tužiteljstva i regulatori u sklopu istraga redovito traže podatke o klijentima.
Taj mehanizam postoji s dobrim razlogom.
Banke i fintech tvrtke zakonski su obvezne surađivati s nadležnim tijelima i na njihov zahtjev predati podatke o korisnicima. Upravo tu obvezu napadači su okrenuli protiv Revoluta.
Ako zahtjev stigne s prave, službene adrese državne institucije, kako ga razlikovati od krivotvorenog?
To je pitanje koje sada istražuju i talijanske vlasti, pokušavajući utvrditi kako je njihov službeni komunikacijski kanal uopće iskorišten za prijevaru.
Broj pogođenih korisnika relativno je malen u odnosu na razmjere Revoluta.
Prema Guardianu, koji se poziva na vlastite izvore, kompromitirani su podaci oko 680 klijenata.
U kontekstu tvrtke koja ima više od 80 milijuna privatnih korisnika i oko 800.000 poslovnih subjekata diljem svijeta, to je sićušan djelić. No ono što taj incident čini ozbiljnim nije broj, nego odabir meta i vrsta podataka.
Ciljane mete i osjetljivi podaci
Prema dostupnim navodima, napadači nisu birali nasumično.
Na meti su se, tvrdi Guardian, našli uglavnom korisnici za koje se pretpostavljalo da drže veće količine kriptovaluta.
Radi se o važnom detalju, jer pokazuje da nije riječ o slučajnom curenju, nego o ciljanom prikupljanju podataka o imućnim i, s napadačeve strane gledano, isplativim pojedincima.
Vrste podataka koje su navodno procurile posebno su zabrinjavajuće.
Istraživač blockchaina poznat kao ZachXBT tvrdi da je riječ o takozvanim KYC podacima, dakle dokumentima koji se koriste za provjeru identiteta klijenta.
Među dokumente ubrajamo putovnice, vozačke dozvole i druge identifikacijske isprave, pa čak i selfije koje korisnici snimaju u aplikaciji radi potvrde identiteta.
Prema istim, još nepotvrđenim navodima, moguće je da su procurili i izvodi računa, IBAN-ovi, povijesti transakcija uključujući kriptovalutne, zatim imena, datumi rođenja, kućne i elektroničke adrese, telefonski brojevi i podaci o zanimanju.
Financial Times, nešto opreznije, navodi osobne dokumente poput putovnica i vozačkih dozvola te podatke o transakcijama.
Treba naglasiti da Revolut te konkretne popise nije potvrdio.
No i sama mogućnost da je procurila ovakva kombinacija podataka dovoljna je za ozbiljnu zabrinutost.
Dok se ukradena lozinka može promijeniti u nekoliko sekundi, putovnica, vozačka dozvola, datum rođenja i kućna adresa ostaju isti godinama.
Takvi podaci idealna su sirovina za krađu identiteta, otvaranje računa na tuđe ime, ciljane prijevare i, u najgorim slučajevima, za fizičko ugrožavanje pojedinca.
Da opasnost nije apstraktna, pokazuje primjer jedne od poznatijih žrtava.
Mark Karpelès, nekadašnji direktor propale kriptoburze Mt. Gox, rekao je Guardianu da se među kompromitiranim podacima nalazi i njegova kućna adresa.
Zbog mogućih sigurnosnih posljedica kontaktirao je policiju u Japanu, gdje živi.
Kada ukradeni podatak postane nečija kućna adresa, granica između cyber incidenta i stvarne, fizičke prijetnje postaje vrlo tanka.
Pitanje otkupnine: oprez s brojkama
Oko ovog slučaja pojavile su se i tvrdnje o otkupnini, i tu je potreban dodatan oprez jer se navodi razlikuju.
Financial Times je objavio da skupina koja se predstavlja imenom iamnotavillain traži tri milijuna dolara, i to u kriptovaluti Monero, uz prijetnju da će ukradene podatke objaviti ili prodati.
S druge strane, u dijelu izvještavanja pojavila se i znatno viša brojka: tvrdnja da napadači na Telegramu traže čak 10.000 bitcoina, što bi po tadašnjem tečaju premašivalo 780 milijuna dolara, uz prijetnju svakodnevnom objavom novih podataka dok Revolut ne plati.
Te se brojke očito ne poklapaju i za sada ih treba tretirati upravo onako kako jesu, kao nepotvrđene navode napadača i medija koji su s njima komunicirali.
Sam Revolut tvrdi da nikakav zahtjev za otkupninom nije primio te da nije imao izravan kontakt s napadačima.
Drugim riječima, dio buke oko ovog slučaja dolazi od samih počinitelja, kojima je u interesu da incident djeluje što spektakularnije kako bi povećali pritisak.
Tvrdnje napadača nisu činjenice, a senzacionalna brojka u naslovu često je dio ucjene, a ne dokaz.
Reakcija Revoluta
Kada je prijevara otkrivena, Revolut je, prema vlastitim navodima, odmah blokirao zloupotrijebljenu adresu elektroničke pošte.
Obavijestio je instituciju čiji je identitet zloupotrijebljen, kao i policiju, regulatore i tijela za zaštitu podataka.
Tvrtka tvrdi da je izravno kontaktirala pogođene korisnike kako bi im pružila podršku te ponavlja da sredstva klijenata nisu bila ugrožena i da u sustave nije bilo proboja.
Sve su to ispravni koraci i, treba to reći, Revolut je reagirao transparentnije nego mnoge tvrtke u sličnim situacijama.
No ostaje neugodno pitanje koje ovaj incident otvara za cijelu industriju: kako provjeriti autentičnost zahtjeva koji dolazi s prave adrese nadležnog tijela? J
er problem ovdje nije bio u Revolutovoj tehnologiji, nego u povjerenju u kanal koji je dizajniran da bude pouzdan.
Zašto je ovaj napad važan za sve nas
Slučaj Revoluta savršena je ilustracija smjera u kojem se moderni kibernetički kriminal kreće.
Napadačima je sve manje isplativo probijati tehničku obranu velikih tvrtki, koja je iz godine u godinu sve skuplja i sve bolja. Puno je jednostavnije napasti ljude, procese i povjerenje.
Lažno predstavljanje autoriteta, bilo da je riječ o državnoj instituciji, poznatom brendu ili nadređenoj osobi, postalo je jedno od najučinkovitijih oružja u arsenalu prevaranata.
Ako poruka dolazi od nekoga kome vjerujemo, spuštamo gard.
Zaposlenik koji primi zahtjev s prave adrese policije ili regulatora neće posumnjati jednako kao kad primi sumnjivi mail s nepoznate domene. Na toj ljudskoj, a ne tehničkoj slabosti, napad na Revolut je i uspio.
Za obične korisnike iz ovog slučaja proizlazi nekoliko trajnih pouka:
- Prva je da nijedna aplikacija, pa ni ona najsigurnija, ne jamči da vaši podaci nikada neće procuriti, jer slaba točka može biti izvan vašeg dohvata.
- Druga je da podatke koje ne možete promijeniti, poput broja osobne iskaznice ili putovnice, treba dijeliti što rjeđe i samo kada je nužno.
- Treća je da nakon svakog poznatog curenja podataka treba očekivati val ciljanih prijevara, jer prevaranti s ukradenim podacima djeluju puno uvjerljivije.
Poziv navodne banke koji zna vaše ime, adresu i dio povijesti transakcija puno je opasniji od nasumičnog pokušaja prijevare.
Za tvrtke je pouka još izravnija.
Povjerenje u komunikacijski kanal mora imati granicu.
Zahtjevi za predaju osjetljivih podataka, čak i kada stižu naizgled od nadležnih tijela, trebaju dodatnu provjeru kroz neovisan kanal, formalne procedure i, gdje je moguće, tehničku potvrdu identiteta pošiljatelja.
Ono što je nekada bila birokratska formalnost danas postaje sigurnosna nužnost.
Širi kontekst: velike krađe podataka u svijetu
Revolut, koliko god bio velik i prepoznatljiv, daleko je od usamljenog slučaja.
Posljednje desetljeće obilježile su krađe podataka takvih razmjera da je incident s nekoliko stotina korisnika, koliko god bio ozbiljan za pojedinca, statistički tek kap u moru.
Najveća poznata krađa podataka u povijesti i dalje je ona tvrtke Yahoo.
U nizu incidenata između 2013. i 2014., koji su javnosti otkriveni tek godinama kasnije, kompromitirani su podaci svih triju milijardi korisničkih računa, praktički svakoga tko je ikada imao Yahoo račun.
Po samom broju pogođenih, taj rekord do danas nije oboren.
Posebno mjesto u povijesti zauzima i proboj kod američke tvrtke Equifax 2017. godine.
Iako je pogođeno oko 147 milijuna ljudi, dakle manje nego u nekim drugim slučajevima, težina incidenta bila je u vrsti podataka.
Equifax je kreditna agencija, pa su procurili iznimno osjetljivi financijski i identifikacijski podaci, uključujući američke matične brojeve, što je milijune ljudi izložilo trajnom riziku od krađe identiteta.
Ugostiteljski div Marriott otkrio je 2018. da je kroz kompromitirani rezervacijski sustav lanca Starwood procurilo oko 500 milijuna podataka o gostima, uključujući brojeve putovnica i podatke o putovanjima, i to tijekom razdoblja od nekoliko godina.
Društvene mreže također nisu pošteđene: podaci stotina milijuna korisnika Facebooka i LinkedIna u više su navrata završili javno dostupni, često prikupljeni zloupotrebom legitimnih funkcija tih platformi.
Posljednjih godina trend se pomaknuo prema takozvanim lančanim napadima, u kojima jedna ranjivost pogađa stotine organizacija odjednom.
Masovno iskorištavanje ranjivosti u alatu za prijenos datoteka MOVEit tijekom 2023. godine pogodilo je velik broj tvrtki i institucija te desetke milijuna ljudi diljem svijeta, pokazavši kako napad na jednog dobavljača može srušiti sigurnost cijelog niza organizacija koje se njime koriste.
Ni naša regija nije izuzeta. Hrvatska javnost dobro pamti napad na A1 Hrvatsku početkom 2022., kada su procurili podaci više od sto tisuća korisnika, kao i niz kasnijih incidenata i ucjena usmjerenih na domaće tvrtke i institucije.
U tom smislu slučaj Revoluta nije egzotična vijest iz svijeta, nego podsjetnik da smo svi, kao korisnici i kao društvo, dio iste globalne mete.
Ono što povezuje sve ove slučajeve, od Yahooa do Revoluta, jednostavna je i pomalo neugodna istina: podaci su danas vrjedniji od novca, a napadači će uvijek krenuti putem manjeg otpora.
Ponekad je taj put ranjivost u softveru, a sve češće, kao kod Revoluta, naprosto dobro odglumljeno povjerenje.
Š’90’Š0’avno dostupni, često prikupljeni zloupotrebom legitimnih funkcija tih platformi.
Posljednjih godina trend se pomaknuo prema takozvanim lančanim napadima, u kojima jedna ranjivost pogađa stotine organizacija odjednom.
Masovno iskorištavanje ranjivosti u alatu za prijenos datoteka MOVEit tijekom 2023. godine pogodilo je velik broj tvrtki i institucija te desetke milijuna ljudi diljem svijeta, pokazavši kako napad na jednog dobavljača može srušiti sigurnost cijelog niza organizacija koje se njime koriste.
Ni naša regija nije izuzeta. Hrvatska javnost dobro pamti napad na A1 Hrvatsku početkom 2022., kada su procurili podaci više od sto tisuća korisnika, kao i niz kasnijih incidenata i ucjena usmjerenih na domaće tvrtke i institucije.
U tom smislu slučaj Revoluta nije egzotična vijest iz svijeta, nego podsjetnik da smo svi, kao korisnici i kao društvo, dio iste globalne mete.
Ono što povezuje sve ove slučajeve, od Yahooa do Revoluta, jednostavna je i pomalo neugodna istina: podaci su danas vrjedniji od novca, a napadači će uvijek krenuti putem manjeg otpora.
Ponekad je taj put ranjivost u softveru, a sve češće, kao kod Revoluta, naprosto dobro odglumljeno povjerenje.
