פריצת מידע ב-Revolut: מסמכי לקוחות נמסרו בעקבות בקשה ממשלתית מזויפת

חברת השירותים הפיננסיים Revolut אישרה שמסרה מידע רגיש על לקוחות לגורם לא מורשה, אחרי שקיבלה בקשת מידע שנשלחה מתוך תשתית דומיין אמיתית של רשות ממשלתית ועברה בהצלחה את כל בדיקות האימות המקובלות לדוא"ל. לא מדובר בפריצה למערכות החברה, אלא בהטעיה של תהליך אנושי שגרמה לעובדים למסור מידע מתוך אמונה שהבקשה חוקית.

הפרטים

לפי Revolut, תיבת דוא"ל לא מורשית שפעלה בתוך תשתית הדומיין הרשמית של רשות ממשלתית שלחה בקשת מידע שנחזתה לחוקית ועברה את בדיקות SPF, DKIM ו-DMARC — כלומר בדיוק את המנגנונים שאמורים לזהות זיוף שולח. עובדי החברה, שהאמינו כי מדובר בדרישה חוקית מרשות אכיפה, מסרו בתגובה מסמכי זהות של לקוחות (כולל דרכונים ורישיונות נהיגה), פרטי קשר ותאריכי לידה, וכן דפי חשבון, מספרי IBAN והיסטוריית עסקאות, ובהם עסקאות ביטקוין. Revolut גילתה את אי ההתאמה, פנתה ישירות לרשות האמיתית ומצאה שהבקשה מזויפת, חסמה את כתובת הדוא"ל, ועדכנה את הרשות הרלוונטית, גורמי אכיפת חוק ורגולטורים. החברה מסרה כי מערכותיה וכספי הלקוחות לא נפגעו, ותיארה את מספר הלקוחות המושפעים כ"מוגבל" מבלי לפרט מספר מדויק. חוקר בלוקצ'יין עצמאי העריך כי האירוע כוון ככל הנראה בעיקר כלפי לקוחות בעלי הון גבוה.

נקודות לשים לב

• אם קיבלתם הודעה מ-Revolut על חשיפת מידע — קחו אותה ברצינות והיו ערניים במיוחד לפישינג ממוקד שמנצל בדיוק את הפרטים שנחשפו: שם, כתובת, מספר טלפון ומסמכי זהות.
• האירוע לא נובע מפריצה טכנית למערכות החברה, אלא מתהליך אנושי שהוטעה על ידי דומיין שולח אמיתי — אל תסיקו מכך שהאבטחה הטכנית של Revolut נפרצה.
• אם הארגון שלכם מטפל בבקשות מידע רגישות מרשויות, אימות דרך SPF/DKIM/DMARC אינו מספיק כשלעצמו — האירוע מדגים שדומיין ממשלתי אמיתי לא מבטיח שהבקשה שמגיעה ממנו לגיטימית. קבעו נוהל אימות עצמאי (למשל טלפוני מול מספר ידוע מראש) לבקשות רגישות לפני מסירת מידע.
• המסקנה הרחבה: תהליכי "מענה לרשויות" הם יעד תקיפה בפני עצמו, לא פחות ממערכות ה-IT — כדאי לבדוק אם קיים אצלכם תהליך דומה שנשען רק על כתובת שולח.

מקורות: Security Affairs · TechCrunch