Съдържание
Пълен курс по етично хакерство от нула до експерт
Хаквайте като „черни шапки“. Тестове за проникване, Kali Linux, WiFi и уеб хакерство, както и хакерският начин на мислене зад тях.
Вашият паспорт, вашето селфи, вашият IBAN и пълната ви история с Bitcoin изтекоха, защото някой изпрати имейл от правилния домейн. Revolut ги предаде. ФБР предупреди компаниите за точно този маршрут през 2024 г.
В петък вечер, на 11 септември, клиентите на Revolut получиха имейл с тема „Спешно обновяване на сигурността за вашата сметка в Revolut“. Вътре беше новината, че личните им данни са попаднали при неоторизирана трета страна. Това не започна със зловреден код или открадната парола. Някой е изпратил искане за информация за клиенти от имейл акаунт, функциониращ на официалния домейн на правителствена агенция, и банката му е отговорила.
Revolut го заяви писмено на засегнатите лица. Искането е произлязло от неоторизиран имейл акаунт, създаден директно в рамките на домейн инфраструктурата на официален държавен орган, а комуникацията е носила автентични идентификационни данни за автентикация на домейна, така че банката го е изпълнила с основателното убеждение, че това е автентично искане от правителствена агенция.
Акаунтът е бил създаден вътре в собствената пощенска система на правителството. Автентикацията на домейна – наборът от проверки, който указва на приемащия пощенски сървър дали съобщението наистина идва от домейна, за който твърди – премина чисто, тъй като съобщението наистина идваше от този домейн. Автентикацията на домейна доказва домейна. Тя никога не е доказвала човека зад клавиатурата. От този момент нататък техническите контроли, с които Revolut разполагаше, работеха точно според предвиденото, и въпреки това данните изтекоха.
Ето какво изтече, според уведомлението, което Revolut изпрати на засегнатите лица:
- → Пълно име, дата на раждане и професия
- → Пощенски адрес, имейл адрес и телефонен номер
- → Копие от паспорта или шофьорската книжка
- → Селфи за лицева верификация, направено по време на регистрацията
- → Банкови извлечения с
IBAN, статус на сметката, дата на откриване и референтен номер на портфейла - → Записи за тегления
- → Пълната история на трансакциите, включително Bitcoin
Revolut добавя в същото съобщение, че не е използвана биометрична лицева телеметрия, а самото изображение. Това разграничение има правна тежест. То има много по-малка тежест на практика, тъй като сканиран паспорт и снимка на същото лице е точно това, което процесът по верификация изисква от вас.
Това не е просто списък с данни за контакт. Това е пълният набор, който дадена банка събира, за да докаже, че сте този, за когото се представяте, и е напълно достатъчен някой друг да се представи за вас там, където това има значение.
Клиентите не са направили нищо нередно. Те не са използвали повторно парола и не са инсталирали нищо. Те са качили снимка на паспорт преди години, защото законът го изискваше, и този файл все още е стоял там, чакайки някой да го поиска в правилния формат.
Revolut разбра за това само защото направи последваща проверка. Банката се свърза с агенцията независимо, за да валидира искането, и при това действие трябваше да уведоми въпросната агенция, че вътре в нейния собствен домейн оперира неоторизиран акаунт. Държавният орган не знаеше. След това Revolut блокира адреса във всичките си вътрешни системи и уведоми регулаторните органи. Данните вече бяха изтекли.
Един от хората, получили уведомлението, беше Марк Карпелес (Mark Karpelès), бившият главен изпълнителен директор на Mt. Gox, който публикува своето копие от писмото публично. Неговата гледна точка е тази, която има значение отвъд собствения му акаунт. Revolut не посочва името на агенцията, чийто домейн е бил използван, и докато това име остава тайна, никоя друга банка, борса или брокер не може да претърси собствените си дневници с правни искания за съобщения от същата пощенска кутия. Ако този акаунт е изпратил искания до пет други компании миналия месец, тези пет компании нямат начин да разберат, че това се е случило. Мълчанието защитава една банка и оставя останалите фирми, които отговарят на такива искания, без възможност да проверят сами.
Случаят не приключи и с разкритието. Според съобщения в собствения Telegram канал на групата, лицата зад исканията са започнали да публикуват материалите, като в първата партида са включени документи за самоличност и селфита за верификация, и изискват плащане. Твърдението е, че публикуването ще продължи ежедневно, докато Revolut не плати за изтичането на данните на своите клиенти. Тези документи не са независимо проверени и Revolut не е отговорил на тях. Сканиран паспорт и селфи за верификация на едно и също лице, публикувани едно до друго, не могат да бъдат анулирани и не могат да бъдат преиздадени по начина, по който може да бъде сменена една парола.
През ноември 2024 г. ФБР публикува поверително известие до индустрията относно точно тази техника с номер 20241104-001, озаглавено „Лесен достъп до информация за извършване на измамнически спешни искания за данни“. През август същата година продавач в престъпен форум рекламираше висококачествени имейли с разширение .gov за шпионаж, социално инженерство и изнудване с данни, предлагайки да напътства купувачите през процеса на спешни искания и да продава откраднати документи за призовки, за да може купувачът да се представи за служител на правоприлагащите органи. През март същата година друг продавач твърдеше, че притежава правителствени имейл акаунти от повече от 25 държави. Връщайки се към август 2023 г., някой обучаваше хора как да пишат и подават свои собствени спешни искания за данни срещу $100. Съветът на ФБР към компаниите беше да проверяват внимателно правните кодекси, цитирани в дадено искане, тъй като чуждестранна агенция няма основание да цитира Title Code на САЩ, а когато останат съмнения – да се свържат с подателя и издаващия орган, преди да отговорят.
Revolut направи именно тази последна част. Направи я, след като данните вече бяха изтекли.
Някои компании отхвърлят тези искания. През март 2024 г. подправено искане пристигна в PayPal, маскирано като искане по Договор за правна взаимопомощ относно текущо разследване за трафик на деца, окомплектовано с номер на дело и правен кодекс за верификация. PayPal го отхвърли.
Обемът е това, което прави този подход успешен. През втората половина на 2023 г. само Verizon е получила 36 033 извънредни искания от правоприлагащите органи на САЩ, броени отделно от 7 205-те, постъпили от центровете за спешни повиквания, в допълнение към 61 120 съдебни призовки и 21 718 съдебни заповеди. Компанията не е предоставила данни за приблизително 10 процента от всички искания, а нейната собствена подредба с причини включва предимно записи, с които никога не е разполагала: грешен доставчик, данни, които не събира, или данни с изтекъл срок на съхранение. Това, което е притежавала, в по-голямата си част е било предадено. Това е само една компания за период от шест месеца, а екипите за преглед обработват тази опашка под голям натиск на времето, защото спешността е същността на тази форма.
Подобна схема се вижда и в собствената история на Revolut, като не са необходими четири години равносметка, за да бъде забелязана. В края на февруари 2026 г. крипто търговец заяви, че бивш служител на Revolut е извлякъл неговия KYC файл от вътрешните системи, свързал се е с членове на семейството му, които също използват приложението, и е поискал откуп в криптовалута, за да не го публикува. Revolut потвърди случая, докладва лицето на правоприлагащите органи и заяви, че нейните системи за сигурност са работили по предназначение. Това беше преди седем месеца. KYC данни, искане за откуп и съобщението, че системите са издържали.
Ако се върнете още по-назад, моделът се повтаря. През септември 2022 г. Revolut загуби личните данни на 50 150 клиенти при атака с използване на социално инженерство, а Държавната инспекция за защита на данните на Литва започна разследване по случая. По онова време банката започна с процент — 0,16 процента от нейните клиенти, което звучи съвсем различно от петдесет хиляди души.
Този път Revolut не е публикувала никаква цифра. Тя не посочва в коя държава, за какъв период са постъпили исканията или кой домейн на агенция е бил използван. Тя описва групата от засегнати клиенти като много ограничена. ZachXBT, on-chain изследователят, който пръв публикува известието, казва, че incident-ът изглежда малък по размер, но е насочен към потребители с висока нетна стойност на активите, което го прави целенасочен подбор, а не масово събиране на данни. Някой е знаел кои имена да поиска, преди да направи запитването. Тези твърдения може да са напълно верни. Никое от тях не може да бъде проверено отвън. Осем дни преди изпращането на уведомителните имейли, на 3 септември, Revolut получи условно одобрение от Службата на контрольора на валутата на САЩ (OCC) за създаване на национална банка.
Това всъщност не е история за една банка. Услугите, които са ви накарали да фотографирате паспорта си, съхраняват същия файл и всяка от тях има процедура за отговор на искания от правоприлагащите органи. Крипто борси, брокери, сайтове за залагания, мобилни оператори, платформи за наем, застрахователи. В тези компании процесът се свежда до един човек, който чете имейл и решава дали той изглежда достатъчно официален, под натиска на времето, докато нечий живот е споменат в темата на съобщението.
- → Запишете си услугите, които съхраняват сканирано копие на вашия паспорт или лична карта. Списъкът ще бъде по-дълъг, отколкото си мислите
- → Заккрийте акаунтите, които вече не използвате, и поискайте писмено документите ви за самоличност да бъдат изтрити заедно с тях
- → Поставете passkey или хардуерен ключ на важните акаунти, така че изтекъл файл за самоличност сам по себе си да не бъде достатъчен за вход
- → Третирайте всяко обаждане или имейл, цитиращ детайли за акаунта, които само вашата банка би трябвало да знае, като подозрителни и ги потвърдете, като се обадите на номера, отпечатан на вашата карта
- → Следете за заявления за кредит на ваше име, а не само за влизания в съществуващите ви акаунти
- → Когато дадена услуга поиска нова снимка за удостоверяване на самоличността, попитайте колко време се съхранява и кой има право да я изисква