Στις περισσότερες ιστορίες για μεγάλες κυβερνοεπιθέσεις, κάπου υπάρχει ένας server που παραβιάστηκε, ένα password που έκλεψαν ή ένα σύστημα ασφαλείας που τελικά δεν ήταν τόσο ασφαλές όσο πίστευαν όλοι. Στην υπόθεση της Revolut, όμως, το πιο ανησυχητικό σενάριο είναι διαφορετικό: οι χάκερ μπορεί να μην χρειάστηκε να μπουν ποτέ στα συστήματα της εταιρείας.
Μια ομάδα που αυτοαποκαλείται iamnotavillain υποστηρίζει ότι απέκτησε ευαίσθητα στοιχεία εκατοντάδων πελατών της Revolut και τώρα ζητά λύτρα 6.000 Monero (XMR), ποσό που τη στιγμή της απαίτησης αντιστοιχούσε περίπου σε 3 εκατ. δολάρια. Σύμφωνα με τους Financial Times, η ομάδα έδωσε προθεσμία 24 ωρών και απείλησε ότι, αν δεν πληρωθεί, θα πουλήσει τα δεδομένα σε άλλες εγκληματικές οργανώσεις. Η απαίτηση εμφανίστηκε δημόσια σε ιστοσελίδα της ομάδας, μαζί με countdown.
Revolut: Όταν το αδύναμο σημείο είναι η εμπιστοσύνη
Η Revolut από την πλευρά της λέει ότι δεν έχει δεχθεί άμεση επικοινωνία ή απαίτηση λύτρων από τους ανθρώπους πίσω από τους ισχυρισμούς. Και αυτή η διάκριση έχει σημασία: άλλο το να γράφει κάποιος δημόσια "δώσε μου 3 εκατομμύρια" και άλλο να βρίσκεται ήδη σε διαπραγμάτευση με την εταιρεία.
Το ανησυχητικό είναι ο τρόπος που φέρονται να πήραν τα δεδομένα
Οι ίδιοι οι χάκερ ισχυρίζονται ότι δεν παραβίασαν τις βάσεις δεδομένων ή τα βασικά συστήματα της Revolut. Σύμφωνα με όσα περιέγραψαν στους Financial Times, απέκτησαν πρόσβαση σε πραγματικό λογαριασμό ηλεκτρονικού ταχυδρομείου ιταλικής κρατικής υπηρεσίας και τον χρησιμοποίησαν για να εμφανίζονται ως νόμιμη διωκτική αρχή. Από εκεί έστελναν αιτήματα για στοιχεία συγκεκριμένων πελατών και, σύμφωνα με το ρεπορτάζ, η διαδικασία συνεχίστηκε για μήνες.
Αυτό αλλάζει αρκετά τον τρόπο με τον οποίο πρέπει να διαβάσουμε την υπόθεση. Δεν πρόκειται απαραίτητα για κάποιον hacker που έσπασε με κινηματογραφικό τρόπο το firewall μιας από τις μεγαλύτερες fintech της Ευρώπης. Αν οι πληροφορίες επιβεβαιωθούν πλήρως, πρόκειται για κάτι λιγότερο θεαματικό και πιθανώς πιο δύσκολο να αντιμετωπιστεί: κάποιος απέκτησε τα διαπιστευτήρια ενός θεσμού που η Revolut είχε λόγο να εμπιστεύεται και χρησιμοποίησε αυτή την εμπιστοσύνη εναντίον της.
Η εταιρεία έχει δηλώσει ότι τα εσωτερικά της συστήματα και τα χρήματα των πελατών δεν παραβιάστηκαν και περιέγραψε το περιστατικό ως εξωτερική απάτη πλαστοπροσωπίας μέσω νόμιμου κυβερνητικού domain.
Διαβατήρια, selfies και ιστορικό συναλλαγών
Το υλικό που ισχυρίζεται ότι έχει η iamnotavillain είναι ακριβώς το είδος δεδομένων που δεν θέλεις να κυκλοφορεί σε εγκληματικά forums.
Η ομάδα έστειλε στους Financial Times screenshots και περίπου ένα λεπτό screen recording, όπου εμφανίζονταν αρχεία που φέρονταν να περιλαμβάνουν διαβατήρια, άδειες οδήγησης, φωτογραφίες ταυτοποίησης, διευθύνσεις και ιστορικά συναλλαγών. Οι πληροφορίες αυτές συνδέονται σε μεγάλο βαθμό με τις διαδικασίες KYC — το Know Your Customer που χρησιμοποιούν τράπεζες και fintech για να γνωρίζουν ποιος πραγματικά βρίσκεται πίσω από έναν λογαριασμό.
Οι μέχρι στιγμής πληροφορίες κάνουν λόγο για περίπου 680 επηρεαζόμενους πελάτες, με τη Revolut να έχει ήδη επικοινωνήσει με όσους θεωρεί ότι επηρεάστηκαν. Η εταιρεία έχει επίσης ενημερώσει τις αρχές και τις ρυθμιστικές αρχές, ενώ η βρετανική Information Commissioner's Office έχει ξεκινήσει να εξετάζει την υπόθεση.
Το 680 μπορεί να ακούγεται μικρό δίπλα στα δεκάδες εκατομμύρια πελατών της Revolut. Στην κυβερνοασφάλεια, όμως, η ποιότητα των δεδομένων έχει συχνά μεγαλύτερη σημασία από την ποσότητα. Ένα πακέτο που συνδέει ταυτότητα, διεύθυνση, οικονομική δραστηριότητα και φωτογραφικά έγγραφα μπορεί να είναι πολύ πιο χρήσιμο σε έναν εγκληματία από μια βάση εκατομμυρίων emails.
Οι στόχοι δεν φαίνεται να επιλέχθηκαν τυχαία
Υπάρχει και μία ακόμη λεπτομέρεια που κάνει την υπόθεση σοβαρότερη. Οι χάκερ υποστηρίζουν ότι χρησιμοποίησαν blockchain analysis για να εντοπίσουν ανθρώπους που θεωρούσαν ότι διατηρούν μεγάλα ποσά σε κρυπτονομίσματα. Οι ίδιοι τους περιέγραψαν ως "crypto whales".
Αν αυτό ισχύει, τότε δεν μιλάμε απλώς για κλοπή προσωπικών δεδομένων. Μιλάμε για πιθανή δημιουργία μιας λίστας στην οποία δημόσια ορατή δραστηριότητα στο blockchain μπορεί να συνδέεται με πραγματικά ονόματα, διευθύνσεις, έγγραφα ταυτότητας και οικονομικά στοιχεία.
Και κάπου εδώ το πράγμα παύει να αφορά μόνο phishing emails.
Για έναν εγκληματία, το να γνωρίζει ότι μια συγκεκριμένη διεύθυνση crypto ανήκει πιθανότατα σε έναν συγκεκριμένο άνθρωπο, πού μένει αυτός ο άνθρωπος και τι άλλα περιουσιακά στοιχεία διαθέτει μπορεί να δημιουργήσει πολύ σοβαρότερους κινδύνους, από στοχευμένη απάτη και εκβιασμό μέχρι επιθέσεις κοινωνικής μηχανικής σχεδιασμένες ακριβώς πάνω στο προφίλ του θύματος.
Γιατί ζητούν Monero
Τα λύτρα ζητήθηκαν σε Monero, όχι τυχαία.
Σε αντίθεση με το Bitcoin, όπου οι συναλλαγές καταγράφονται σε δημόσιο blockchain και μπορούν να παρακολουθηθούν αναλυτικά, το Monero έχει σχεδιαστεί ώστε να αποκρύπτει σε πολύ μεγαλύτερο βαθμό πληροφορίες όπως ο αποστολέας, ο παραλήπτης και το ποσό της συναλλαγής. Γι' αυτό έχει χρησιμοποιηθεί επανειλημμένα σε εγκληματικές δραστηριότητες όπου η ιδιωτικότητα της πληρωμής είναι προφανώς μέρος του σχεδίου.
Πιο περίεργος είναι ο τρόπος με τον οποίο παρουσιάστηκε η απαίτηση. Οι ομάδες ransomware συνήθως ξεκινούν ιδιωτικά, προσπαθούν να διαπραγματευτούν και χρησιμοποιούν τη δημόσια έκθεση των δεδομένων ως μοχλό πίεσης όταν η άλλη πλευρά δεν συνεργάζεται. Η iamnotavillain έκανε την απαίτησή της δημόσια σχεδόν αμέσως και είπε στους Financial Times ότι δεν είχαν προηγηθεί διαπραγματεύσεις με τη Revolut.
Αυτό δεν σημαίνει ότι τα δεδομένα που ισχυρίζεται ότι έχει είναι ψεύτικα. Σημαίνει όμως ότι κάθε ισχυρισμός της ίδιας της ομάδας πρέπει να αντιμετωπίζεται ακριβώς ως αυτό: ισχυρισμός εγκληματιών που αυτή τη στιγμή προσπαθούν να πιέσουν μια εταιρεία να τους πληρώσει.
Το πραγματικό πρόβλημα δεν είναι μόνο η Revolut
Η Revolut έχει περίπου 80 εκατ. πελάτες και πρόσφατα αποτιμήθηκε στα 115 δισ. δολάρια, οπότε οποιαδήποτε υπόθεση τέτοιου μεγέθους γύρω από το όνομά της θα προκαλούσε έτσι κι αλλιώς τεράστια προσοχή.
Το ενδιαφέρον όμως ξεπερνά τη συγκεκριμένη εταιρεία. Οι τράπεζες και οι fintech είναι υποχρεωμένες να συνεργάζονται με διωκτικές και δικαστικές αρχές. Αν ένα αίτημα προέρχεται από πραγματικό κρατικό email, περνάει τους τεχνικούς ελέγχους και μοιάζει απολύτως νόμιμο, τότε το πρόβλημα δεν λύνεται απλώς με καλύτερο antivirus.
Χρειάζεται να επιβεβαιώσεις ότι ο άνθρωπος πίσω από το νόμιμο κανάλι είναι πράγματι αυτός που λέει ότι είναι.
Αυτό είναι ίσως και το πιο χρήσιμο συμπέρασμα από όλη την ιστορία. Η κυβερνοασφάλεια έχει γίνει τόσο καλή στο να προστατεύει τα συστήματα ώστε οι επιτιθέμενοι πολλές φορές προτιμούν να χτυπήσουν κάτι πολύ παλιότερο από το software: την εμπιστοσύνη.
Και όταν καταφέρεις να πείσεις μια τράπεζα ότι είσαι η αστυνομία, ίσως τελικά να μη χρειάζεται να χακάρεις την τράπεζα καθόλου.
Ακολούθησε το Esquire στο Facebook, το Twitter και το Instagram.
