Pokud jste uživateli Revolutu, následující řádky vás nejspíš moc nepotěší. Společnost totiž řeší poměrně nepříjemný bezpečnostní incident, při kterém se útočníci dostali k citlivým osobním údajům jeho zákazníků. Na celé věci je přitom nejzajímavější, že podle dostupných informací nemuseli prolomit zabezpečení aplikace, nabourat se do serverů ani překonávat šifrování. Revolut jim totiž data poskytl sám poté, co uvěřil falešným žádostem, které vypadaly, jako by přicházely od státních orgánů.
Mohlo by vás zajímat
Útočník podle dostupných informací využíval e-mailovou adresu na skutečné doméně vládní instituce a prostřednictvím ní posílal Revolutu žádosti o informace o konkrétních zákaznících. Revolut je právě s ohledem na doménu považoval za legitimní požadavky státních orgánů a požadované informace předával. Podle zdrojů Financial Times pak tímto způsobem s Revolutem komunikovali několik měsíců a vydávali se za italské bezpečnostní složky.
Adresy, doklady i historie transakcí
Rozsah informací, které se mohly dostat do nesprávných rukou, je poměrně velký. Mezi uniklými údaji totiž mají být jména a data narození, telefonní čísla, e-mailové a fyzické adresy, fotografie a kopie dokladů totožnosti včetně pasů či řidičských průkazů, ověřovací selfie, čísla účtů a také historie transakcí. V některých případech se dokonce měly mezi předanými informacemi nacházet rovněž údaje o bitcoinových transakcích.
Podle dostupných informací Revolut kontaktoval přibližně 680 zákazníků, kterých se incident týká, což je ve výsledku i relativně dobrá zpráva vzhledem k množství postižených klientů. Mohlo být totiž samozřejmě mnohem hůř. Právě s ohledem na poměrně nízký počet postižených klientů tak asi nepřekvapí, že útočníci měli navíc cílit především na majetnější klienty držící kryptoměny, kdy většina postižených zákazníků má pocházet ze Švýcarska a Francie. Data však byla získána také o lidech z dalších více než třiceti evropských zemí.
Revolut už se k celé kauze vyjádřil s tím, že jeho vlastní systémy napadeny nebyly a peníze zákazníků zůstaly v bezpečí. Po odhalení incidentu problematickou e-mailovou adresu zablokoval, informoval příslušné úřady a případ nahlásil regulátorům, které celou věc začaly obratem vyšetřovat. Pro postižené zákazníky však může být situace nepříjemná i bez přímého odcizení peněz. Kombinace domácí adresy, kontaktních údajů, dokladů totožnosti a informací o vlastnictví kryptoměn totiž může být pro útočníky mimořádně cenná. Podle Financial Times navíc pachatelé vyhrožují zveřejněním získaných dat.
Mohlo by vás zajímat
Celý případ je tak pěknou ukázkou toho, že ani velmi dobře zabezpečená aplikace nemusí být nejslabším článkem celého systému. Tentokrát útočníci podle všeho nemuseli překonávat technologické zabezpečení Revolutu, ale stačilo „jen“ přesvědčit jeho zaměstnance, že komunikují se skutečnou státní institucí.
