To jedna z najbardziej nietypowych afer związanych z bezpieczeństwem bankowym ostatnich lat. Przestępcy nie musieli włamywać się do systemów Revoluta. Zamiast tego przejęli prawdziwą skrzynkę należącą do włoskiej administracji, podszyli się pod organy ścigania i po prostu poprosili Revolut o dane klientów. Firma, uznając żądania za autentyczne, przekazała im m.in. dokumenty tożsamości, adresy, dane kontaktowe, a w części przypadków także selfie weryfikacyjne, numery rachunków i pełne historie transakcji. Poszkodowanych jest około 680 osób.
Sprawa wyszła na jaw w połowie września. 12 września Revolut oficjalnie potwierdził, że doszło do ujawnienia danych klientów nieuprawnionej osobie. Firma podkreśla jednak jedną istotną rzecz: przestępcy nie włamali się do infrastruktury Revoluta i nie uzyskali bezpośredniego dostępu do rachunków. Według spółki systemy banku oraz pieniądze klientów nie zostały naruszone.
Tyle że z punktu widzenia osoby, której kopia paszportu, adres zamieszkania i historia finansowa znalazły się w rękach przestępców, jest to raczej umiarkowane pocieszenie.
Jak oszuści przekonali Revoluta do wydania danych?
Mechanizm ataku jest szczególnie interesujący, ponieważ pokazuje, że nawet bardzo zaawansowane zabezpieczenia techniczne nie pomagają, jeżeli zawiedzie procedura weryfikacji człowieka po drugiej stronie.
Według ustaleń włoskich śledczych oraz mediów cyberprzestępcy uzyskali dostęp do skrzynki w systemie PEC, czyli włoskiej poczty certyfikowanej wykorzystywanej m.in. przez administrację publiczną. W sprawie pojawia się adres należący do Prefektury w Reggio Calabria, działającej w strukturach włoskiego Ministerstwa Spraw Wewnętrznych. Nie była to więc zwykła wiadomość wysłana z adresu w rodzaju „[email protected]”. Komunikacja pochodziła z infrastruktury, która z technicznego punktu widzenia rzeczywiście należała do organu państwowego. Włoska policja pocztowa prowadzi w tej sprawie śledztwo.
Następnie przestępcy zaczęli kontaktować się z Revolutem, przedstawiając się jako przedstawiciele włoskich organów ścigania prowadzący postępowania dotyczące konkretnych klientów.
Instytucje finansowe regularnie otrzymują podobne wnioski od policji, prokuratur czy organów podatkowych. W określonych sytuacjach mają prawny obowiązek przekazywania żądanych informacji. Problem w tym, że Revolut uznał autentyczność kanału komunikacji za wystarczające potwierdzenie autentyczności samego żądania.
Według informacji przekazywanych mediom wiadomości przechodziły techniczne mechanizmy uwierzytelniania domeny, dlatego były obsługiwane jako standardowe, prawnie wiążące żądania organu państwowego. Innymi słowy: system potwierdził, że wiadomość rzeczywiście pochodzi z prawdziwej infrastruktury administracji. Nie potwierdził jednak, że osobą korzystającą z tej infrastruktury rzeczywiście jest funkcjonariusz uprawniony do żądania danych.
To właśnie tutaj znajduje się sedno całej afery.
Proceder mógł trwać miesiącami
Według osób przyznających się do ataku pierwsze fałszywe zapytania miały być wysyłane do Revoluta kilka miesięcy wcześniej. Financial Times informował, że przestępcy wielokrotnie występowali o dane kolejnych klientów, a firma realizowała ich żądania. Revolut nie potwierdził publicznie wszystkich szczegółów dotyczących długości procederu, dlatego informacje o dokładnym czasie jego trwania należy traktować jako ustalenia mediów oraz twierdzenia sprawców, a nie pełny opis przedstawiony przez bank.
Skala jest jednak już znacznie lepiej znana. Według najnowszych informacji chodzi o około 680 klientów Revoluta z wielu państw Europy. Największa część poszkodowanych miała pochodzić ze Szwajcarii i Francji, ale dane dotyczyły mieszkańców kilkudziesięciu państw. Financial Times pisał o osobach z kolejnych 31 krajów.
Revolut zapewnia, że osoby objęte incydentem zostały bezpośrednio powiadomione.
Co dokładnie dostały osoby podszywające się pod policję?
To najpoważniejsza część całej historii.
Zakres danych był różny w przypadku poszczególnych klientów, ale z powiadomień otrzymanych przez poszkodowanych wynika, że przekazane informacje mogły obejmować imię i nazwisko, datę urodzenia, pełny adres zamieszkania, numer telefonu, adres e-mail, kopię paszportu lub prawa jazdy oraz zdjęcie wykonane przy weryfikacji tożsamości w aplikacji.
W niektórych przypadkach pakiet obejmował również informacje finansowe: numer IBAN, wyciągi bankowe, informacje o wypłatach oraz pełną historię transakcji, w tym operacje związane z Bitcoinem i innymi aktywami kryptowalutowymi.
To zasadnicza różnica między tym incydentem a typowym wyciekiem bazy sklepu internetowego zawierającej e-mail i numer telefonu.
Tutaj przestępca mógł otrzymać niemal kompletne dossier konkretnego człowieka.
Celem mogli być zamożni posiadacze kryptowalut
Według Financial Times osoby stojące za atakiem twierdzą, że celowo wyszukiwały klientów dysponujących znacznymi aktywami kryptowalutowymi. Miały w tym celu analizować publicznie dostępne dane blockchainowe i następnie występować do Revoluta o informacje dotyczące konkretnych osób. Revolut nie potwierdził, że wszyscy poszkodowani zostali wybrani właśnie według takiego klucza.
Jeżeli jednak rzeczywiście tak było, konsekwencje mogą wykraczać daleko poza phishing.
Wyobraźmy sobie przestępcę, który wie jednocześnie, że konkretna osoba posiada kryptowaluty, zna wartość lub charakter wykonywanych przez nią transakcji, ma jej zdjęcie, numer telefonu, e-mail, kopię dokumentu i — przede wszystkim — dokładny adres zamieszkania.
W świecie kryptowalut od lat mówi się o tzw. wrench attacks, czyli wymuszaniu dostępu do portfeli poprzez bezpośrednie groźby lub przemoc wobec właściciela. Jeden z ujawnionych poszkodowanych, były szef Mt. Gox Mark Karpelès, zwracał uwagę właśnie na ryzyko wynikające z połączenia informacji o aktywach kryptowalutowych z prywatnym adresem zamieszkania.
Hakerzy chcieli 3 milionów dolarów
Historia otrzymała kolejny rozdział kilka dni po ujawnieniu incydentu.
Grupa używająca nazwy „IAmNotAVillain” opublikowała żądanie zapłaty około 3 mln dolarów w kryptowalucie Monero. W zamian przestępcy mieli powstrzymać się od sprzedaży lub dalszego ujawniania zdobytych danych.
Revolut zaznaczył jednak, że grupa nie skontaktowała się bezpośrednio z firmą z takim żądaniem. Było to publiczne ultimatum zamieszczone przez osoby twierdzące, że odpowiadają za atak.
Wyznaczony przez przestępców 24-godzinny termin już minął. Według stanu wiedzy z 18–19 września nie ma niezależnego potwierdzenia, że cała baza została następnie sprzedana ani że Revolut zapłacił okup.
Revolut podkreśla: pieniędzy nie skradziono
To zdanie pojawia się praktycznie w każdym oficjalnym komentarzu firmy: systemy Revoluta i środki klientów nie zostały naruszone.
Technicznie jest to bardzo istotne. Nie ma informacji, by przestępcy przejęli bazę haseł, kody dostępu do aplikacji albo możliwość wykonywania przelewów bezpośrednio z rachunków objętych incydentem.
Nie oznacza to jednak, że problem kończy się na prywatności.
Dane, które zostały ujawnione, są wręcz idealnym materiałem do prowadzenia bardzo wiarygodnych ataków socjotechnicznych. Oszust może podczas rozmowy podać prawdziwy adres klienta, znać jego ostatnie przelewy, numer rachunku albo szczegóły posiadanych aktywów. Dzięki temu telefon rozpoczynający się od słów „dzwonimy z działu bezpieczeństwa Revoluta w sprawie transakcji z…” może brzmieć wyjątkowo przekonująco.
I już pojawiły się pierwsze sygnały o wiadomościach phishingowych kierowanych do klientów Revoluta po ujawnieniu incydentu. Nie ustalono jednak, czy są one bezpośrednio związane z przejętymi danymi. W jednym z opisanych przypadków fałszywy SMS pojawił się nawet w tej samej konwersacji, w której wcześniej znajdowały się prawdziwe wiadomości Revoluta.
Czy problem dotyczy klientów z Polski?
W materiałach publikowanych przez osoby przyznające się do ataku Polska pojawiała się wśród państw, których mieszkańców miały dotyczyć uzyskane dane. Nie ma jednak obecnie oficjalnej informacji, ilu dokładnie klientów z Polski znalazło się w grupie około 680 poszkodowanych.
Najważniejszą informacją dla zwykłego użytkownika jest więc ta: Revolut twierdzi, że skontaktował się bezpośrednio ze wszystkimi klientami objętymi naruszeniem. Jeżeli nie otrzymałeś takiego powiadomienia, nie ma obecnie podstaw, by zakładać, że Twoje dane znalazły się właśnie w tej konkretnej grupie. Nie daje to oczywiście stuprocentowej gwarancji, dopóki sprawa nie zostanie ostatecznie wyjaśniona.
Masz Revoluta? Oto co warto zrobić teraz
Najlepsza reakcja zależy od tego, czy Revolut rzeczywiście powiadomił Cię o ujawnieniu danych. W przypadku osoby znajdującej się w grupie poszkodowanych sensowne jest potraktowanie sprawy jak realnej kradzieży danych osobowych, a nie jedynie awarii banku.
- Nie klikaj w link zawarty w e-mailu lub SMS-ie informującym o „wycieku”. Otwórz aplikację Revolut samodzielnie i skontaktuj się z pomocą przez bezpieczny czat. Oficjalna ścieżka to profil w aplikacji → Czaty → Wsparcie. Poproś o jednoznaczne potwierdzenie, czy Twój rachunek został objęty incydentem oraz dokładną listę przekazanych danych. Revolut udostępnia całodobowy czat w aplikacji.
- Jeżeli ujawniono PESEL lub kopię polskiego dowodu osobistego, zastrzeż PESEL. W polskim dowodzie numer PESEL znajduje się bezpośrednio na dokumencie, więc przekazanie jego pełnej kopii oznacza również ujawnienie PESEL-u. Zastrzeżenie można wykonać natychmiast i bezpłatnie w aplikacji mObywatel, w serwisie mObywatel lub w urzędzie gminy. Instytucje finansowe mają obowiązek sprawdzania rejestru m.in. przed zawarciem umowy kredytu lub pożyczki.
- Sprawdź historię użycia swojego PESEL-u. W mObywatelu można zobaczyć, kto weryfikował status numeru PESEL i kiedy to zrobił. Nieznana instytucja sprawdzająca go bez powodu powinna być sygnałem do dalszej weryfikacji. Ministerstwo Cyfryzacji wręcz rekomenduje utrzymywanie PESEL-u domyślnie jako zastrzeżonego i czasowe cofanie zastrzeżenia tylko wtedy, kiedy rzeczywiście jest to potrzebne.
- Włącz monitoring prób kredytowych. Alerty BIK mogą powiadomić o zapytaniu kredytowym albo próbie zawarcia niektórych umów na Twoje dane. Warto również pobrać Raport BIK, aby sprawdzić, czy wcześniej nie pojawiło się zobowiązanie, którego nie rozpoznajesz. BIK zaleca takie działania właśnie w przypadku wycieku danych.
- Zabezpiecz przede wszystkim e-mail i numer telefonu. Jeżeli przestępcy znają Twój adres e-mail i telefon, mogą próbować przejmować kolejne usługi przez resetowanie haseł albo socjotechnikę. Ustaw unikalne hasło do poczty, włącz uwierzytelnianie dwuskładnikowe i sprawdź aktywne sesje oraz urządzenia zalogowane do skrzynki. Nie zatwierdzaj żadnego logowania ani resetu hasła, którego sam nie rozpocząłeś.
- Traktuj każdy telefon „z Revoluta” jak potencjalną próbę oszustwa. Szczególnie jeżeli rozmówca zna Twoje prawdziwe dane. Nie podawaj kodu dostępu, kodów SMS ani kodów autoryzacyjnych i nie instaluj żadnej aplikacji do „zdalnej pomocy”. Rozłącz się i samodzielnie otwórz aplikację Revolut. Jeżeli dostaniesz podejrzany SMS z linkiem, możesz przekazać go do CERT Polska na bezpłatny numer 8080 lub zgłosić incydent przez oficjalny formularz CERT.
- Jeżeli wyciekła historia transakcji kryptowalutowych i adres zamieszkania, potraktuj bezpieczeństwo fizyczne poważnie. Nie ujawniaj publicznie wartości posiadanych aktywów, przejrzyj bezpieczeństwo portfeli i sposobu przechowywania seed phrase, a przy większych kwotach rozważ rozwiązania ograniczające możliwość uzyskania dostępu do całego majątku w jednym miejscu. Połączenie adresu domowego z informacją o dużych aktywach kryptowalutowych było jednym z powodów szczególnego niepokoju części poszkodowanych.
- Zachowaj całą korespondencję z Revolutem. Nie kasuj wiadomości o naruszeniu, odpowiedzi supportu ani informacji o zakresie ujawnionych danych. Mogą być istotne, jeśli później pojawi się próba wyłudzenia, konieczność zgłoszenia sprawy na policję albo roszczenie wobec administratora danych.
Co dokładnie napisać do Revoluta?
Jeżeli znalazłeś się w grupie poszkodowanych, nie warto poprzestawać na ogólnym komunikacie „Twoje dane mogły zostać ujawnione”.
Warto zażądać jednoznacznej odpowiedzi, które konkretnie dane dotyczące Twojego konta zostały przekazane, kiedy nastąpiło ich udostępnienie, ile razy informacje były przekazywane, czy obejmowały skan dokumentu oraz selfie, czy przekazano pełną historię rachunku i operacji kryptowalutowych oraz jakie dodatkowe środki ochronne Revolut zastosował wobec Twojego konta po wykryciu zdarzenia.
Revolut umożliwia korzystanie z praw dotyczących danych osobowych poprzez swojego inspektora ochrony danych pod adresem [email protected]. Zgodnie z aktualną polityką prywatności klient może żądać m.in. dostępu do swoich danych i informacji dotyczących ich przetwarzania.
Polski klient może również złożyć formalną reklamację na adres [email protected] lub poprzez formularz reklamacyjny. Revolut Bank UAB udostępnia również dla klientów w Polsce telefoniczną linię reklamacyjną.
Czy można złożyć skargę do UODO?
Tak.
Revolut w swojej polityce reklamacyjnej wskazuje litewski organ ochrony danych jako organ właściwy dla Revolut Bank UAB, ale jednocześnie potwierdza możliwość złożenia skargi do lokalnego organu ochrony danych w państwie UE. Polski klient może więc zwrócić się do Prezesa UODO.
UODO zaleca jednak, aby najpierw wystąpić bezpośrednio do administratora danych i zażądać wyjaśnień lub realizacji swoich praw. Jeżeli administrator nie odpowie albo odpowiedź będzie niesatysfakcjonująca, można złożyć skargę do Urzędu.
Co więcej, sam UODO w swoich aktualnych materiałach dotyczących wycieków wskazuje zastrzeżenie PESEL oraz zwiększoną ostrożność wobec SMS-ów, e-maili i telefonów jako jedne z podstawowych działań, które powinna podjąć osoba dotknięta naruszeniem danych.
Jeżeli wskutek naruszenia powstanie rzeczywista szkoda majątkowa albo niemajątkowa, przepisy przewidują również możliwość dochodzenia roszczeń cywilnych. Nie jest to jednak „automatyczne odszkodowanie za wyciek” — ewentualne roszczenie należy oceniać indywidualnie. UODO sam nie przyznaje odszkodowań; takich roszczeń dochodzi się przed sądem.
Czy warto przez tę aferę zamknąć konto w Revolut?
Z punktu widzenia bezpieczeństwa danych samo zamknięcie rachunku nie rozwiązuje problemu, jeżeli informacje zostały już wcześniej przekazane przestępcom. Nie da się w ten sposób „cofnąć” kopii dokumentu czy historii transakcji.
Decyzja o dalszym korzystaniu z Revoluta jest więc przede wszystkim kwestią zaufania do instytucji i tego, jak oceniamy jej reakcję na incydent.
Warto też zachować proporcje. Mówimy o bardzo poważnym naruszeniu, ale obecnie znane dane wskazują na około 680 celowo wybranych klientów, a nie na przejęcie bazy kilkudziesięciu milionów użytkowników Revoluta. Firma twierdzi również, że rachunki, system bankowy oraz środki klientów nie zostały naruszone.
Największym problemem tej afery nie jest więc to, że ktoś „zhakował Revoluta” i może teraz wyczyścić konta jego klientów.
Problem jest bardziej fundamentalny.
Revolut posiada jedne z najbardziej wrażliwych informacji, jakie można zgromadzić o człowieku: dokument tożsamości, zdjęcie twarzy, adres zamieszkania, dane kontaktowe i kompletną historię finansową. Przestępcy nie musieli włamywać się do banku, aby je zdobyć. Wystarczyło, że skutecznie przekonali bank, że mają prawo o nie poprosić.
I właśnie dlatego ta historia jest znacznie poważniejsza, niż mogłoby wynikać z liczby 680 poszkodowanych.
Techniczne zabezpieczenia Revoluta mogły działać prawidłowo. Pieniądze mogły pozostać na kontach. Hasła mogły nie wyciec.
Ale w przypadku banku bezpieczeństwo nie kończy się na zabezpieczeniu serwera przed hakerem. Obejmuje również upewnienie się, że gdy ktoś przychodzi po kopię paszportu klienta i pełną historię jego finansów, jest rzeczywiście tym, za kogo się podaje.
W tej sprawie właśnie ten mechanizm zawiódł.