Szantaż na 780 mln dolarów! Cyberprzestępcy wykiwali Revoluta, dane Polaków wyciekają do sieci
Kradzież tożsamości w pakiecie premium
Revolut zorientował się w sytuacji dramatycznie późno. Gdy prawda wyszła na jaw, firma zaczęła rozsyłać powiadomienia do poszkodowanych. Lista danych, które fintech przekazał hakerom na tacy, jest przerażająca. To idealny zestaw do kradzieży tożsamości i przeprowadzania precyzyjnych ataków.
Czytaj także
W ręce przestępców trafiły:
- imiona, nazwiska, daty urodzenia i adresy zamieszkania,
- numery telefonów i adresy e-mail,
- skany dokumentów tożsamości (paszporty i prawa jazdy),
- zdjęcia selfie z weryfikacji KYC (wykonywane przy zakładaniu konta),
- wyciągi bankowe, numery IBAN oraz pełna historia transakcji (w tym operacji w kryptowalutach).
Choć Revolut uspokaja, że incydent dotyczy "bardzo ograniczonej" grupy klientów (nieoficjalnie mówi się o kilkuset osobach, głównie zamożnych inwestorach krypto), zasięg terytorialny ataku jest ogromny. Hakerzy potwierdzili, że pozyskali dane obywateli niemal 30 państw, w tym Polski.
Jak oszukano giganta? Wystarczył jeden e-mail
Zamiast skomplikowanego włamania do serwerów, przestępcy wykorzystali socjotechnikę i fatalne procedury po stronie instytucji finansowej. Zaczęło się od zainfekowania komputera włoskiego urzędnika złośliwym oprogramowaniem. Dzięki temu hakerzy przejęli dostęp do oficjalnej, certyfikowanej skrzynki mailowej należącej do prefektury Reggio Calabria. Z tego adresu zaczęli masowo wysyłać do litewskiej spółki Revoluta zapytania o to, do kogo należą konkretne konta powiązane z transakcjami kryptowalutowymi.
Revolut posłusznie współpracował z fałszywą "policją" przez bite pięć miesięcy. Włoskie media nie zostawiają na firmie suchej nitki, wytykając amatorskie błędy. Wiadomości były rzekomo wysyłane przez "Policję Pocztową" ze skrzynki prefektury, a co najważniejsze – nie dołączano do nich żadnego nakazu sądowego. Mimo tych rażących nieścisłości, dział bezpieczeństwa Revoluta bez mrugnięcia okiem realizował kolejne prośby o wydanie danych. Przestępcy w tym czasie na bieżąco kasowali wysyłane z urzędowej skrzynki maile, by zatrzeć ślady przed prawowitym właścicielem.
Szantaż na 780 milionów dolarów
Konsekwencje wpadki są katastrofalne. Cyberprzestępcy zażądali od Revoluta okupu w wysokości 10 000 Bitcoinów (ok. 780 mln dolarów). Aby udowodnić, że nie blefują, zaczęli już publikować w internecie pierwsze paczki danych. W sieci pojawiły się m.in. dokumenty znanego tenisisty Aleksandra Szewczenko czy prezesa jednego z kasyn internetowych.
Hakerzy grożą, że będą udostępniać kolejne rekordy, dopóki okup nie zostanie zapłacony. Twierdzą, że pobrali z systemów banku łącznie aż 147 GB wrażliwych informacji.
Warto przypomnieć, że to nie pierwszy taki incydent w historii Revolut. Cztery lata temu ofiarą ataku phishingowego padł pracownik firmy, co skutkowało wyciekiem danych ponad 50 tysięcy klientów. Obecna afera udowadnia jednak brutalną prawdę: żeby dostać się do twoich najpilniej strzeżonych danych, nikt nie musi łamać zabezpieczeń IT. Czasem wystarczy, że wyśle maila, a bezmyślne procedury zrobią resztę.
źr. wPolsce24 za Niebezpiecznik
Czytaj także
