Revolut gav bedragare ditt pass med ett falskt myndighetsmejl

Revolut blev inte hackat. Ingen bröt sig igenom deras brandväggar eller hittade en sårbarhet i koden. I stället var det en angripare som utgav sig för att vara en myndighet med hjälp av en mejladress som bar en legitim officiell domän, skickade en begäran om utlämnande av uppgifter som Revoluts verifieringskontroller accepterade som äkta, och gick därifrån med fullständiga identitetshandlingar, passkopior, selfies från onboarding och den fullständiga kontohistoriken för berörda användare – inklusive varje Bitcoin-transaktion som finns registrerad.

Attacken utnyttjade en juridisk skyldighet, inte en mjukvarubrist. Finansiella plattformar är enligt lag skyldiga att svara på officiella databegäranden från myndigheter och brottsbekämpande organ. Genom att förfalska dessa begäranden tillräckligt övertygande för att passera Revoluts granskning, förvandlade angriparen en efterlevnadsprocess som är utformad för att skydda allmänheten till mekanismen för en datastöld. Revolut uppgav att de oberoende försökte validera begäran med den berörda myndigheten, men att personifieringen upptäcktes först efter att uppgifterna redan hade delats.

För alla vars konto ingick är exponeringen djupare än vid ett standardbrott. De stulna uppgifterna knyter fullständiga verifierade identiteter – juridiska namn, födelsedatum, hemadresser, kopior av pass eller körkort och de selfies som skickades in vid kontoverifieringen – till Bitcoin-plånboksreferenser och fullständiga transaktionsregister på kedjan. Den kombinationen upphör inte att gälla. Även om de berörda användarna öppnar nya plånböcker kan alla med de läckta uppgifterna spåra deras tidigare kryptorörelser till en bekräftad verklig identitet, permanent.

Revolut uppgav att ingen biometrisk ansiktstelemetri var inblandad – de systemgenererade mallar som används för automatisk ansiktsmatchning – bara det råa fotot som togs vid onboarding. Kundernas medel påverkades inte. Företaget blockerade den bedrägliga mejladressen, underrättade den myndighet vars identitet hade kopierats, larmade brottsbekämpande organ och lämnade in de obligatoriska regulatoriska anmälningarna. Huruvida europeiska dataskyddsmyndigheter behandlar det svaret som tillräckligt är en öppen fråga: GDPR ställer strikta krav på hur företag hanterar och skyddar den typ av identitetshandlingar som togs.

Incidenten pekar på en kategori av attacker som teknisk säkerhet ensam inte kan förhindra. Ett företag kan kryptera sina databaser, granska sina API:er och köra penetrationstester – och ändå bli socialt manipulerat genom de processer som man enligt lag är skyldig att följa. Problemet är inte Revoluts kod. Det är den olösta frågan om hur någon organisation verifierar att en begäran med officiella markeringar faktiskt härrör från den myndighet den påstår sig representera.

Revolut underrättade berörda kunder direkt och har inte offentliggjort det totala antalet konton som är inblandade eller de specifika marknader där exponeringen skedde. För alla som fått en brottsanmälan öppnar identitetshandlingar i händerna på bedragare dörren till bedrägeri som sträcker sig långt bortom själva plattformen – bedräglig passanvändning, nätfiskesamtal som refererar till verkliga kontouppgifter, identitetsstöld inom finansiella tjänster. Och Bitcoin-registret är ett annat slags problem: Revolut kan återställa ett lösenord, men ingen återställer blockkedjan.

Taggar: fintech, data breach, Revolut, social engineering