Un serangan hacker LED Revolut untuk menyampaikan data pribadi dan keuangan di sekitar 700 pelanggan kepada sekelompok penjahat siber. Namun, para penyerang tidak secara langsung melanggar sistem fintech tersebut: menurut rekonstruksi, mereka menggunakan sebuah Alamat email resmi dan terverifikasi dari kepolisian Italia., yang seharusnya dapat mereka akses, untuk mengirimkan permintaan yang tampak resmi.
Revolut mengkonfirmasi insiden tersebut pada 12 September, menyebutnya sebagai penipuan yang canggih. Perusahaan tidak mengungkapkan jumlah pasti pelanggan yang terlibat, tetapi Financial Times Ini menyebutkan 680 orang. Perusahaan fintech tersebut, yang memiliki lebih dari 80 juta pelanggan di seluruh dunia dan lebih dari 5 juta di Italia, telah memastikan bahwa sistem tidak terganggu dan itu dari catatan tidak ada uang yang dicuri.
Data pelanggan Revolut apa saja yang telah terungkap?
Permintaan tersebut akan berujung pada pengiriman informasi Data yang sangat sensitif meliputi: nama, alamat, nomor telepon, dan email, salinan paspor dan SIM, foto, dan swafoto yang digunakan untuk memverifikasi identitas. Para penyerang juga diduga memperoleh IBAN, laporan bank, transaksi, penarikan, dan riwayat transaksi, termasuk bitcoin.
Di antara pelanggan yang terlibat terdapat pemain sepak bola Barcelona. Georges Mikautadze, pemain tenis Kazakhstan Alexander Shevchenko, Mark Karpels, mantan CEO Mt. Gox, dan Marc ZellerKarpelès mengatakan dia menerima komunikasi dari Revolut pada pukul 5:25 pagi tanggal 12 September, awalnya mengira itu adalah upaya penipuan lainnya. Kasus pengusaha ini juga telah dilaporkan. Felix Romer, yang diduga menerima ancaman pemerasan terkait data pribadinya yang dicuri sebelum Revolut memberi tahu pelanggan tentang insiden tersebut.
Perusahaan telah memblokir alamat yang digunakan untuk permintaan tersebut dan telah memberi tahu pihak berwenang, penegak hukum, otoritas perlindungan data, dan regulator keuangan.
Bagaimana Peretas Memperdayai Revolut
Rekonstruksi serangan tersebut berpusat pada kotak surat. Kelompok yang menyebut dirinya AkuBukanPenjahat mengklaim telah meretas, sekitar enam bulan lalu, sebuah akun dengan domain @pec.interno.it, yang dapat dilacak ke Kementerian Dalam Negeri.
Dari kotak surat itu, sebuah permintaan dikirim ke kantor pusat Revolut di Lituania untuk mendapatkan informasi tentang pelanggan sebagai bagian dari dugaan penyelidikan oleh Jaksa MilanKomunikasi tersebut juga merujuk pada Perintah Investigasi Eropa, instrumen yang memungkinkan otoritas peradilan di satu negara Uni Eropa untuk meminta bukti dan informasi yang berada di negara lain.
Oleh karena itu, permintaan tersebut tidak hanya dikirim dari alamat institusional yang sah, tetapi juga memiliki motivasi yang tampaknya sah. Menurut laporan, Revolut menanggapi dengan memberikan data tersebut tanpa menghubungi langsung penegak hukum untuk memverifikasi permintaan tersebut. Kementerian Dalam Negeri belum secara publik mengkonfirmasi pelanggaran tersebut.
Peretas mengklaim memiliki lebih banyak data Italia.
IAmNotAVillain juga mengklaim telah memiliki akses ke sistem otoritas Italia selama berbulan-bulan dan telah mengumpulkan lebih dari 87 file, yang berjumlah sekitar 147 gigabyte, termasuk dokumen, email, dan informasi pribadi. Kelompok ini mengklaim sebagai memiliki materi lain dan mengancam akan mempublikasikannya jika gagal. pembayaran uang tebusan.
Namun, ini adalah klaim para penyerang dan belum diverifikasi secara independen. Motif yang diduga, yang terkait dengan prosedur KYC—pemeriksaan yang digunakan perusahaan keuangan untuk memverifikasi identitas pelanggan—juga telah diindikasikan oleh kelompok yang sama.
Sementara itu pemeriksaan oleh pihak berwenangSelasa, 15 SeptemberKantor Komisioner Informasi Inggris mengumumkan penyelidikan setelah laporan Revolut. Di Italia, Action MP Giulia Pastorella Dia mengumumkan sebuah pertanyaan untuk mengetahui berapa banyak permintaan lain yang mungkin berasal dari alamat email terverifikasi yang sama dan apakah perusahaan lain terlibat.
