Revolut, gerçek bir devlet kurumuna ait e-posta alan adından gönderilen sahte bilgi taleplerine yanıt vererek bazı müşterilerinin pasaport ve ehliyet kopyaları, kimlik doğrulama fotoğrafları, IBAN bilgileri ve Bitcoin işlemleri dahil finansal geçmişlerini yetkisiz kişilere teslim etti. Şirket veri ihlalini doğrularken sistemlerine doğrudan girilmediğini ve müşteri fonlarının etkilenmediğini açıkladı. Financial Times’a göre ilk incelemede yaklaşık 680 müşterinin etkilendiği belirlendi. Saldırıyı üstlenen kişiler ise 10 bin Bitcoin — güncel değerle yaklaşık 780 milyon dolar — fidye talep ediyor. Reuters
Dijital bankacılık devi Revolut, klasik anlamda sistemlerine girilen bir siber saldırıyla değil, çok daha basit fakat kurumsal açıdan ağır sonuçları olan bir yöntemle müşterilerinin hassas verilerini kaybetti.
Saldırganlar, gerçek bir devlet kurumuna ait e-posta alan adını kullanarak Revolut’a müşteriler hakkında resmi bilgi talepleri gönderdi.
Revolut talepleri gerçek sandı.
Ve bilgileri gönderdi.
Şirket olayı kendi açıklamasında “gelişmiş bir dış kimliğe bürünme dolandırıcılığı” olarak tanımladı. Revolut’a göre saldırgan, meşru bir devlet kurumu alan adındaki e-posta hesabını kullanarak sahte bilgi taleplerinde bulundu. Şirket bu taleplerin bir bölümünü yerine getirdiğini ve daha sonra göndericinin yetkisiz olduğunu tespit ettiğini kabul etti. Reuters
Pasaporttan selfie’ye, IBAN’dan Bitcoin geçmişine
Revolut’un etkilenen müşterilere gönderdiği bildirimleri inceleyen TechCrunch ve The Register’a göre açığa çıkan bilgiler sıradan iletişim verileriyle sınırlı değil.
Paylaşılmış olabilecek veriler arasında:
- ad ve soyadı,
- doğum tarihi,
- ev ve e-posta adresi,
- telefon numarası,
- meslek bilgisi,
- pasaport veya ehliyet kopyaları,
- hesap açılışında kullanılan kimlik doğrulama selfie’si,
- IBAN,
- hesap dökümleri,
- para çekme kayıtları,
- tam işlem geçmişi,
- Bitcoin işlemleri
bulunuyor. TechCrunch
Bu nedenle olay yalnız bir e-posta veya telefon numarasının sızmasından ibaret değil.
Bir banka müşterisinin kimliğini doğrulamak için kullandığı belgeler ile finansal yaşamının ayrıntılı kaydı aynı veri paketinin içinde bulunuyor.
Bu verilerin kimlik hırsızlığı, hedefli dolandırıcılık ve başka sosyal mühendislik saldırıları açısından değeri oldukça yüksek.
Yaklaşık 680 müşteri etkilenmiş olabilir
Revolut kamuoyuna açıkladığı ilk açıklamalarda yalnızca “çok sınırlı sayıda” müşterinin etkilendiğini söyledi ve sayı vermedi.
Financial Times ise konuya yakın kaynaklara dayanarak şirketin yaklaşık 680 müşteriyi olaydan etkilendikleri gerekçesiyle bilgilendirdiğini aktardı.
İngiltere’nin veri koruma otoritesi Information Commissioner’s Office de olay hakkında inceleme başlattı. Financial Times
Revolut bugün dünya çapında 80 milyondan fazla bireysel müşteriye sahip. Dolayısıyla etkilenenlerin oranı şirketin toplam müşteri tabanına göre küçük.
Ancak mesele sayıdan çok, şirketin son derece hassas finansal ve kimlik verilerini yalnızca resmi görünen bir talebe dayanarak yetkisiz kişilere teslim etmiş olması.
Hackerlardan 10 bin Bitcoin talebi
Olayın ikinci aşaması ise şantaj.
Saldırıyı üstlendiğini söyleyen kişiler, bazı müşteri verilerinden örnekler yayımlamaya başladı ve Revolut’tan 10 bin Bitcoin talep etti.
The Register’a göre bu tutar yaklaşık 782 milyon dolara karşılık geliyor.
Saldırganlar Revolut ödeme yapmadığı sürece her gün daha fazla müşteri verisi yayımlayacaklarını öne sürüyor.
Burada önemli bir ayrım var: Revolut veri ihlalini doğruladı ancak 10 bin Bitcoinlik fidye talebine ilişkin açıklama yapmadı. Dolayısıyla fidye miktarı şu aşamada saldırganların iddiasına dayanıyor. theregister
Revolut’un sistemine girilmedi
Olayın belki de en çarpıcı yanı, saldırganların Revolut’un bankacılık altyapısını kırmak zorunda kalmamış olması.
Şirketin açıklamasına göre Revolut sistemleri ve müşteri fonları etkilenmedi.
Saldırganın yaptığı şey, devlet kurumundan geliyormuş gibi görünen güvenilir bir iletişim kanalını kullanmak ve bankanın hukuki bilgi talebi prosedürünü istismar etmekti.
Yani teknolojik duvar aşılmadı.
Kurumsal güven mekanizması aşıldı.
Gerçek bir devlet alan adından gelen e-posta, talebi gönderen kişinin gerçekten o verileri istemeye yetkili olup olmadığını kontrol etmenin yerine geçti.
Revolut olayı fark ettikten sonra kullanılan adresi bloke ettiğini; ilgili devlet kurumunu, kolluk makamlarını, veri koruma kurumlarını ve mali düzenleyicileri bilgilendirdiğini açıkladı. Reuters
“İtalyan polis sistemlerini altı ay kullandık” iddiası
Olayın nasıl gerçekleştirildiğine ilişkin daha ağır bir iddia ise saldırganlardan geliyor.
International Cyber Digest’in saldırganla yaptığı temasın ardından aktardığı bilgilere göre hacker, birden fazla İtalyan kolluk kurumunun sistemlerini ele geçirdiğini ve yaklaşık altı ay boyunca bu sistemler üzerinden Revolut’a gerçek polis talepleri gibi görünen bilgi talepleri gönderdiğini öne sürüyor.
Aynı kişi İtalyan tarafındaki sistemlerden 147 GB veri elde ettiğini de iddia ediyor.
Ancak bu bölüm henüz bağımsız olarak doğrulanmış değil.
Revolut kullandığı devlet kurumunun hangi ülkeye ait olduğunu açıklamadı. İtalyan makamları da saldırganın “altı ay boyunca kolluk sistemlerine eriştik” iddiasını kamuya açık biçimde doğrulamış değil. Bu nedenle İtalya bağlantısını şu aşamada saldırganın iddiası olarak değerlendirmek gerekiyor. tvrinfo.ro
Türkiye bağlantısı da henüz teyit edilmiş değil
Saldırganların çevrimiçi yayımladığı iddia edilen ülke listelerinde Türkiye’den müşterilerin de bulunduğu ileri sürülüyor.
Ancak Revolut hangi ülkelerde kaç müşterinin etkilendiğine ilişkin resmi bir dağılım açıklamadı.
Bu nedenle “Türkiye’den müşterilerin verileri kesin olarak sızdı” demek için henüz yeterli bağımsız doğrulama bulunmuyor.
Türkiye açısından ayrıca bir ayrıntı var: Revolut Türkiye’de henüz tam bankacılık hizmeti sunmuyor; buna karşılık Avrupa’da yaşayan çok sayıda Türkiye kökenli göçmen Revolut kullanıyor. Dolayısıyla Türkiye vatandaşlığı veya Türkiye bağlantısı bulunan kişilerin etkilenmesi, hesabın Türkiye’de açılmış olduğu anlamına gelmek zorunda değil.
Etkilenen müşteriler doğrudan bilgilendirildi
Revolut, olaydan etkilendiğini tespit ettiği müşterilere doğrudan e-posta gönderdiğini söylüyor.
Dolayısıyla Revolut hesabı bulunanların özellikle şirketten gelen veri ihlali bildirimlerini kontrol etmesi önemli.
Pasaport veya ehliyet kopyası ile kimlik doğrulama selfie’sinin açığa çıkması, yalnız mevcut banka hesabına yönelik bir risk yaratmıyor. Bu tür belgeler daha sonra başka finans kuruluşlarında sahte hesap açma girişimleri veya kişiye özel dolandırıcılık operasyonlarında kullanılabilir.
Bununla birlikte Revolut’un açıklamasına göre saldırganlar müşterilerin hesaplarına erişmedi ve hesap bakiyeleri doğrudan etkilenmedi. TechCrunch
Sorun hackerın ne kadar “zeki” olduğu değil
Olay ilk bakışta sıra dışı bir hacker hikâyesi gibi görünüyor.
Ancak asıl mesele başka yerde.
Bankalar ve fintech şirketleri, kara para aklama ve müşteri tanıma düzenlemeleri nedeniyle kullanıcılarından pasaport, adres, yüz fotoğrafı ve kapsamlı mali kayıtlar topluyor.
Devlet kurumları ise soruşturmalarda aynı şirketlerden bu verileri talep edebiliyor.
Böylece milyonlarca insanın son derece hassas kimlik ve finans verileri, şirketler ile devlet kurumları arasında çalışan bir bilgi paylaşım mekanizmasının içinde birikiyor.
Revolut olayında bu mekanizmanın tek bir halkasının güvenilir görünmesi yeterli oldu.
Saldırgan Revolut’un kasasını kırmadı.
Revolut, kasadaki bilgiyi resmi talep sandığı bir e-postaya kendisi teslim etti.
Ve şimdi tartışılması gereken yalnız hackerların kim olduğu değil; bir finans kuruluşunun müşterilerinin pasaportundan bütün mali geçmişine kadar uzanan verileri teslim etmeden önce neden daha güçlü bir yetki doğrulaması yapmadığı.
