Revolut обманом вынудили передать хакерам паспорта состоятельных клиентов и историю операций с Bitcoin

Revolut раскрыл паспорта клиентов и историю их операций с Bitcoin после того, как признал мошеннический государственный запрос подлинным. В число записей могли входить копии паспортов, водительских удостоверений и селфи для верификации. Также могли быть раскрыты имена, даты рождения, род занятий, домашние адреса, номера телефонов, IBAN и выписки по счетам. Могли быть раскрыты сведения о выводе средств и полная история операций. Мошеннический запрос поступил с неавторизованного почтового ящика внутри доменной инфраструктуры настоящего государственного ведомства. Для почтового ящика использовались действительные учетные данные аутентификации. Проверки SPF, DKIM и DMARC были пройдены успешно. После раскрытия записей Revolut связался с ведомством. Revolut пришел к выводу, что запрос был мошенническим. Revolut заблокировал адрес и начал уведомлять клиентов и регуляторов. Revolut не установил, какое именно ведомство было задействовано. Revolut не раскрыл, сколько клиентов пострадали. ZachXBT заявил, что масштаб раскрытия, по всей видимости, был ограниченным. ZachXBT заявил, что целью могли быть состоятельные клиенты. О краже средств клиентов не сообщалось. В уведомлениях Revolut не упоминались пароли, PIN-коды карт или приватные ключи криптовалют. Раскрытая информация могла связать подтвержденные личности и адреса проживания с активностью в сфере криптовалют. Marc Zeller заявил, что раскрытие последовало после требования Revolut предоставить дополнительную информацию под угрозой закрытия счета. Zeller обвинил Revolut в том, что компания фактически выполнила работу злоумышленников за них. Бывший генеральный директор Mt. Gox Mark Karpelès заявил, что установление ведомства могло бы помочь другим банкам и биржам определить, получали ли они запросы с того же почтового ящика. Revolut заявил, что результаты аутентификации привели компанию к выводу, что запрос поступил от подлинного государственного органа. Revolut не сообщил, требуют ли запросы государственных органов о предоставлении информации подтверждения за пределами электронной почты. Revolut не сообщил, почему связался с ведомством только после раскрытия записей клиентов. Revolut не сообщил, изменил ли он этот процесс после обнаружения мошенничества.