A Revolut notificou 680 clientes depois que cibercriminosos usaram uma conta de e-mail governamental legítima para obter registros sensíveis de identidade, bancários e relacionados a Bitcoin.
Resumo
- O Financial Times informa que a Revolut notificou 680 clientes depois que solicitações fraudulentas expuseram registros de identidade e financeiros.
- Os atacantes usaram um domínio de e-mail legítimo de agência governamental, enquanto a Revolut afirma que seus sistemas permaneceram não comprometidos.
- Os registros expostos incluíam passaportes, endereços, selfies de verificação, extratos de conta, IBANs e históricos de transações em Bitcoin dos clientes.
- O Information Commissioner’s Office do Reino Unido abriu uma investigação depois que a Revolut reportou o incidente aos reguladores.
- O ex-chefe da Mt. Gox, Mark Karpelès, disse que a Revolut o alertou na sexta-feira que suas informações foram expostas.
A Revolut confirmou que um terceiro não autorizado enviou solicitações fraudulentas de informações a partir de uma conta de e-mail usando um domínio legítimo de agência governamental. A empresa tratou as solicitações como genuínas antes de descobrir o esquema de impersonação.
Vazamento de dados da Revolut veio por meio de um domínio governamental legítimo
Diferentemente de uma intrusão na própria rede da Revolut, o incidente envolveu a liberação de informações depois que solicitações enganosas chegaram à empresa por meio de um canal governamental aparentemente autêntico. A Revolut descreveu o episódio como um “golpe sofisticado de impersonação externa”.
Um aviso ao cliente revisado pelo TechCrunch disse que a comunicação carregava credenciais válidas de autenticação de domínio, o que levou a Revolut a acreditar que havia recebido uma solicitação governamental genuína. A empresa não nomeou a agência envolvida nem explicou publicamente como o terceiro obteve controle da conta de e-mail governamental.
A página pública da empresa para solicitações oficiais de informações direciona autoridades competentes e representantes legais para um endereço dedicado a ordens judiciais. Ela pede que as autoridades enviem um e-mail para cada caso, embora a Revolut não tenha descrito publicamente quais etapas de verificação foram aplicadas às solicitações fraudulentas envolvidas no vazamento.
Como o crypto.news relatou quando o incidente surgiu pela primeira vez, o investigador on-chain ZachXBT circulou uma cópia de uma notificação ao cliente e disse que o incidente parecia limitado em tamanho e potencialmente focado em usuários de alto patrimônio. A Revolut não confirmou essa avaliação.
Dados expostos incluíam arquivos de identidade e atividade em Bitcoin
Avisos ao cliente revisados por vários veículos listaram uma grande variedade de informações pessoais que podem ter sido divulgadas. Os registros incluíam nomes completos, datas de nascimento, profissões, endereços residenciais, endereços de e-mail e números de telefone.
Cópias de passaportes ou carteiras de motorista e as selfies enviadas durante a verificação de identidade estavam entre os registros listados. O aviso da Revolut distinguiu essas imagens de verificação da telemetria facial biométrica, que, segundo ela, não fazia parte das informações envolvidas.
As informações financeiras foram além dos detalhes básicos da conta. Os extratos dos clientes podiam conter IBANs, datas de abertura de conta, status da conta, registros de saques e históricos completos de transações. Para clientes de criptomoedas, o material incluía transações em Bitcoin e números de referência de carteira mostrados nos registros da conta.
O aviso não afirmou que chaves privadas, senhas de conta ou credenciais completas de cartão de pagamento foram fornecidas ao solicitante não autorizado. Ele listou categorias de registros que podem ter sido divulgadas, o que significa que as evidências disponíveis não estabelecem que todas as pessoas afetadas tiveram todas as categorias listadas expostas.
O Financial Times relatou posteriormente que o ex-CEO da Mt. Gox, Mark Karpelès, estava entre os clientes afetados. Karpelès disse que a Revolut enviou um e-mail a ele às 5h25 do dia 12 de setembro alertando que suas informações podem ter sido comprometidas.
Karpelès questionou por que a fintech divulgou os registros mesmo que a solicitação tenha vindo de um endereço governamental verificado. Sua crítica representa sua avaliação do tratamento da solicitação pela Revolut e não uma conclusão regulatória contra a empresa.
Crypto.news detalhou o histórico de Karpelès como ex-operador da Mt. Gox, a exchange de Bitcoin que entrou em colapso em 2014 após a perda de criptomoedas de clientes.
Alegações de extorsão surgem enquanto arquivos de clientes aparecem
Pessoas que reivindicam responsabilidade pelo incidente ameaçaram divulgar informações de clientes a menos que a Revolut pague uma exigência de extorsão, de acordo com o Financial Times e o Recorded Future News. A Revolut se recusou a comentar com o Recorded Future News se havia recebido ou estava respondendo a uma exigência de extorsão.
O Recorded Future News relatou que material circulou através de uma conta do Telegram alegando envolvimento no incidente. Um cliente cujas informações apareceram no material não contestou sua autenticidade, enquanto o empresário de criptomoedas Marc Zeller disse separadamente que informações pertencentes a ele haviam sido expostas.
Partes da história dos atacantes permanecem não verificadas. A conta do Telegram sugeriu que o e-mail do governo veio de um domínio italiano, mas o Recorded Future News disse que não pôde confirmar todos os detalhes nas postagens da conta. As autoridades italianas contatadas pela publicação não responderam, e a conta do Telegram foi posteriormente suspensa.
A Revolut não identificou publicamente a agência governamental cujo sistema de e-mail foi usado. Nenhuma declaração oficial localizada até 15 de setembro estabelece como a conta foi comprometida, se credenciais foram roubadas, ou se o mesmo acesso de e-mail governamental foi usado contra outras instituições financeiras.
O FBI já alertou empresas sobre criminosos obtendo acesso a contas de e-mail de aplicação da lei e do governo e usando-as para enviar solicitações fraudulentas de dados de emergência. O Recorded Future News observou que táticas semelhantes foram usadas contra empresas de tecnologia durante ataques anteriores envolvendo contas comprometidas de aplicação da lei.
Regulador de privacidade do Reino Unido está investigando a divulgação
O Information Commissioner's Office da Grã-Bretanha abriu uma investigação depois que a Revolut relatou o incidente, informou o Financial Times na segunda-feira. Uma investigação por si só não estabelece que a Revolut violou a lei de proteção de dados do Reino Unido.
De acordo com a orientação do ICO, as organizações geralmente devem notificar o regulador dentro de 72 horas após tomarem conhecimento de uma violação de dados pessoais notificável. Quando um incidente cria um alto risco para os direitos e liberdades dos indivíduos, as pessoas afetadas devem ser informadas sem demora indevida.
O caso chega meses depois que a Revolut recebeu aprovação para operar um banco completo no Reino Unido. Como o crypto.news relatou em março, a aprovação da Prudential Regulation Authority permitiu que o Revolut Bank UK começasse a operar com status bancário e proteção de depósitos para depósitos elegíveis de clientes. A negociação de criptomoedas permanece fora dessa estrutura de proteção de depósitos.
A Revolut atende mais de 80 milhões de clientes em todo o mundo, de acordo com o número da empresa citado pela TechCrunch e Recorded Future News. As 680 pessoas identificadas pelo Financial Times representam a contagem atual relatada da investigação e não devem ser tratadas como um número final, a menos que a Revolut ou os reguladores publiquem um total atualizado.
A orientação publicada do ICO diz que os investigadores podem examinar o tipo de dados expostos, o número de pessoas envolvidas, danos potenciais e as salvaguardas técnicas ou organizacionais usadas antes de decidir se uma ação regulatória é justificada.
