Fintech div Revolut potvrdio je ozbiljan sigurnosni propust u kojem su osjetljivi podaci klijenata predani neovlaštenoj trećoj strani. Incident se dogodio nakon što je tvrtka zaprimila i obradila lažne zahtjeve za informacijama, poslane s legitimne e-mail domene neke vladine agencije. Napadačima nije bio potreban hakerski upad; umjesto toga, iskoristili su proceduru za hitne službene upite kako bi prevarili zaposlenike.
Kako je prevara zaobišla sve tehničke provjere
Ono što ovaj slučaj čini neuobičajenim jest metoda napada. Ne radi se o klasičnom hakiranju servera ili krađi lozinki, već o naprednom socijalnom inženjeringu usmjerenom na Revolutov protokol za postupanje sa službenim zahtjevima. Budući da je lažni upit stigao s autentične domene vladine agencije, uspješno je prošao sve tehničke provjere autentičnosti e-pošte poput SPF, DKIM i DMARC. Ovi protokoli potvrđuju da poruka zaista dolazi s navedene domene, ali ne mogu provjeriti je li osoba koja je šalje ovlaštena. Revolutov tim za usklađenost, suočen sa zahtjevom koji je izgledao tehnički ispravno, postupio je u skladu s njim.
Otkriveni osobni dokumenti, financije i povijest transakcija
Prema obavijestima poslanim pogođenim klijentima, popis kompromitiranih podataka je zabrinjavajuće dugačak. Uključuje puna imena, datume rođenja, adrese, e-mailove i brojeve telefona. No, ono što je opasnije jest da su predane i kopije osobnih dokumenata poput putovnica i vozačkih dozvola, kao i selfiji korišteni za verifikaciju identiteta. Curenje obuhvaća i financijske podatke, uključujući IBAN brojeve, izvatke s računa te, što je ključno, cjelokupnu povijest transakcija. Revolut je potvrdio da je pogođen “ograničen” broj korisnika, no odbio je otkriti točnu brojku, kao i o kojoj se vladinoj agenciji radi.
“Revolut je nedavno identificirao sofisticiranu vanjsku prijevaru lažnog predstavljanja gdje je neovlaštena treća strana iskoristila e-mail domenu legitimne vladine agencije za podnošenje lažnih zahtjeva za informacijama”, stoji u priopćenju tvrtke. Naglasili su da “Revolutovi sustavi i sredstva klijenata nisu pogođeni”.
*uz korištenje AI-ja
Preuzeto sa: www.24sata.hr
