Η υπόθεση της διαρροής προσωπικών δεδομένων πελατών της Revolut αναδεικνύει μια νέα μορφή κυβερνοεπιθέσεων. Οι εγκληματίες δεν χρειάζεται πάντοτε να «σπάσουν» τα πληροφοριακά συστήματα μιας τράπεζας για να αποκτήσουν ευαίσθητα δεδομένα. Σε αυτή την περίπτωση, σύμφωνα με τους ειδικούς που μίλησαν στο The National των Ηνωμένων Αραβικών Εμιράτων, αξιοποιήθηκε κυρίως η εμπιστοσύνη των ανθρώπων και η εμφάνιση νομιμότητας ενός αιτήματος.
Ομάδα χάκερς που χρησιμοποιεί το όνομα «iamnotavillain» είχε ζητήσει από τη Revolut 6.000 Monero, αξίας περίπου 3 εκατ. δολαρίων, απειλώντας ότι δεν λάβει τα λύτρα, θα πουλήσει τα δεδομένα σε άλλες εγκληματικές ομάδες. Η απαίτηση είχε αναρτηθεί δημόσια σε ιστοσελίδα των δραστών, συνοδευόμενη από αντίστροφη μέτρηση 24 ωρών.
Η Revolut έχει επιβεβαιώσει ότι ένας μη εξουσιοδοτημένος τρίτος χρησιμοποίησε διεύθυνση ηλεκτρονικού ταχυδρομείου που ανήκε σε νόμιμο κυβερνητικό domain και εμφανίστηκε ως ιταλική κρατική αρχή. Μέσω αυτής της διαδικασίας ζητήθηκαν και παραδόθηκαν στοιχεία πελατών. Οι πληροφορίες που φέρεται να εκτέθηκαν περιλαμβάνουν έγγραφα ταυτοποίησης, φωτογραφίες, στοιχεία λογαριασμών, αντίγραφα κινήσεων και ιστορικό συναλλαγών.
Δεν παραβιάστηκε η Revolut
Σύμφωνα με τη μέχρι τώρα εικόνα, δεν υπήρξε εισβολή στην υποδομή της Revolut. Τα συστήματα, οι βάσεις δεδομένων και οι λογαριασμοί των πελατών δεν φαίνεται να παραβιάστηκαν. Τα δεδομένα παραδόθηκαν έπειτα από απατηλά αιτήματα που εμφανίζονταν ως επίσημες κρατικές επικοινωνίες.
Αυτό διαφοροποιεί την υπόθεση από μια κλασική επίθεση ransomware, κατά την οποία οι δράστες αποκτούν πρόσβαση σε ένα σύστημα και κρυπτογραφούν ή αντιγράφουν δεδομένα. Εδώ, το «όπλο» ήταν η κοινωνική μηχανική (social engineering): η χειραγώγηση ενός εργαζομένου ώστε να θεωρήσει ένα κακόβουλο αίτημα νόμιμο.
«Κανείς δεν μπήκε στα συστήματα της Revolut· οι επιτιθέμενοι ζήτησαν τα δεδομένα και η τράπεζα τα έστειλε», σχολίασε ο Ivan Milenkovic της Qualys, σύμφωνα με το The National.
Το αδύναμο σημείο ήταν η εμπιστοσύνη
Η υπόθεση δείχνει ότι ακόμη και ένας εργαζόμενος με υψηλή τεχνική κατάρτιση μπορεί να εξαπατηθεί όταν ένα αίτημα διαθέτει τα χαρακτηριστικά μιας νόμιμης κρατικής εντολής.
Ο Santiago, ερευνητής threat intelligence στην Acronis, υπογράμμισε ότι η υπόθεση δεν πρέπει να αντιμετωπίζεται ως απλό περιστατικό phishing. Οι δράστες φαίνεται να επέλεξαν ως στόχο εργαζομένους που διαχειρίζονται επίσημα αιτήματα κρατικών αρχών και όχι ανυποψίαστους καταναλωτές.
Αυτό έχει ιδιαίτερη σημασία για τις τράπεζες και τις fintech εταιρείες, καθώς καθημερινά καλούνται να ανταποκριθούν σε αιτήματα αστυνομικών, δικαστικών και άλλων κρατικών υπηρεσιών. Η ύπαρξη ενός αυθεντικού κυβερνητικού domain, όμως, δεν αρκεί για να αποδειχθεί ότι το αίτημα είναι γνήσιο.
Η σοβαρότητα της διαρροής συνδέεται και με το είδος των πληροφοριών που φέρεται να εκτέθηκαν.
Σύμφωνα με το The National, στα δεδομένα περιλαμβάνονται στοιχεία ταυτότητας, διαβατήρια, άδειες οδήγησης και φωτογραφίες που χρησιμοποιούνται για την ταυτοποίηση πελατών. Η έκθεση τέτοιων στοιχείων δημιουργεί μακροχρόνιο κίνδυνο, καθώς δεν μπορούν να αντικατασταθούν τόσο εύκολα όσο ένας κωδικός πρόσβασης.
Παράλληλα, η αποκάλυψη ιστορικού συναλλαγών μπορεί να προσφέρει στους εγκληματίες πληροφορίες για τις οικονομικές δραστηριότητες και τις συναλλαγές ενός προσώπου.
Η ομάδα που έχει αναλάβει την ευθύνη υποστηρίζει ότι στόχευσε συγκεκριμένους πελάτες, μεταξύ άλλων μέσω ανάλυσης δεδομένων blockchain για τον εντοπισμό χρηστών με σημαντικές τοποθετήσεις σε κρυπτονομίσματα. Ο συγκεκριμένος ισχυρισμός δεν έχει επιβεβαιωθεί ανεξάρτητα.
Ο κίνδυνος τώρα είναι το δεύτερο κύμα επιθέσεων
Για τους ειδικούς, η διαρροή μπορεί να έχει συνέπειες ακόμη και πέρα από τα δεδομένα που έχουν ήδη αποσπαστεί.
Ένας εγκληματίας που γνωρίζει το ονοματεπώνυμο, τη διεύθυνση, τον αριθμό τηλεφώνου, στοιχεία ταυτοποίησης ή ακόμη και πληροφορίες για τις συναλλαγές ενός πελάτη μπορεί να δημιουργήσει πολύ πιο πειστικές απόπειρες εξαπάτησης.
Το επόμενο στάδιο μπορεί να είναι στοχευμένα μηνύματα ή τηλεφωνήματα που εμφανίζονται ως επικοινωνία από τη Revolut, την αστυνομία ή κάποια κρατική υπηρεσία. Όσο περισσότερες πραγματικές πληροφορίες διαθέτει ο απατεώνας, τόσο πιο εύκολα μπορεί να δημιουργήσει ένα αξιόπιστο σενάριο.
Το μάθημα για τις τράπεζες
Οι ειδικοί που μίλησαν στο The National θεωρούν ότι η βασική άμυνα δεν μπορεί να είναι απλώς η εκπαίδευση των εργαζομένων να αναγνωρίζουν ύποπτα μηνύματα.
Ο Art Gilliland της Delinea υποστήριξε ότι οι οργανισμοί δεν μπορούν να αφήνουν τον εργαζόμενο, ακόμη και όταν είναι ιδιαίτερα έμπειρος, ως την «τελευταία γραμμή άμυνας». Για ευαίσθητα αιτήματα απαιτούνται ανεξάρτητες διαδικασίες επαλήθευσης, πρόσθετες εγκρίσεις και περιορισμοί τόσο ως προς το ποιος μπορεί να έχει πρόσβαση στα δεδομένα όσο και ως προς την ποσότητα των πληροφοριών που μπορεί να αποκαλυφθεί.
Η υπόθεση της Revolut, επομένως, προσφέρει ένα ευρύτερο μάθημα για ολόκληρο τον χρηματοπιστωτικό κλάδο. Η κυβερνοασφάλεια δεν αφορά μόνο τα firewalls, τους κωδικούς πρόσβασης και την προστασία των servers. Αφορά και τις διαδικασίες με τις οποίες ένας οργανισμός αποφασίζει πότε και σε ποιον επιτρέπεται να δώσει πληροφορίες.
Και σε μια εποχή κατά την οποία η τεχνητή νοημοσύνη καθιστά τις επιθέσεις κοινωνικής μηχανικής φθηνότερες και ευκολότερες στην κλιμάκωση, το συγκεκριμένο περιστατικό δείχνει ότι η ανθρώπινη εμπιστοσύνη μπορεί να παραμένει ένα από τα πιο ευάλωτα σημεία ακόμη και των πλέον προηγμένων ψηφιακών χρηματοπιστωτικών οργανισμών. Το The National σημειώνει πάντως ότι δεν υπάρχει ένδειξη πως χρησιμοποιήθηκε τεχνητή νοημοσύνη στη συγκεκριμένη επίθεση.
