Digitální banka Revolut předala citlivá data části svých klientů poté, co falešná žádost vydávající se za požadavek státní instituce prošla interními kontrolami. Mezi uniklými informacemi byly doklady totožnosti, adresy, selfie i kompletní historie bitcoinových transakcí.
Digitální banka Revolut se stala terčem sofistikovaného podvodu, při kterém útočník vystupující jako státní instituce získal přístup k velmi citlivým údajům zákazníků.
Podvodná žádost dorazila prostřednictvím e-mailu a podle informací zaslaných postiženým klientům obsahovala přihlašovací údaje nebo jiné náležitosti, které prošly bezpečnostními kontrolami Revolutu. Společnost proto žádost považovala za legitimní a požadovaná data předala.
Teprve následně banka kontaktovala údajnou státní instituci samostatným kanálem a zjistila, že žádost ve skutečnosti nebyla pravá.
Rozsah předaných informací byl značný. Podle dostupných informací mohly soubory obsahovat kopie pasů nebo řidičských průkazů, ověřovací selfie, celá jména, data narození, zaměstnání, domácí adresy, e-mailové adresy, telefonní čísla a bankovní údaje včetně IBANů.
Součástí dat byly také výpisy z účtů, záznamy o výběrech a kompletní historie transakcí. V případě klientů používajících Revolut pro kryptoměny tak útočníci mohli získat také přehled o jejich bitcoinové aktivitě.
Revolut zatím nezveřejnil, kolika zákazníků se incident týkal. Podle oznámení zaslaného postiženým uživatelům však nedošlo ke ztrátě finančních prostředků a peníze klientů zůstaly v bezpečí.
Společnost zároveň uvedla, že informovala dotčené zákazníky a regulační orgány a zdroj falešné žádosti zablokovala.
Hlavním problémem tentokrát nebylo klasické prolomení databáze nebo hackerský útok na servery banky. Slabým místem byl proces autorizace žádosti o poskytnutí zákaznických údajů.
Jakmile falešný požadavek prošel interními kontrolami, osoba vydávající se za státního úředníka získala přístup ke stejným informacím, které finanční instituce shromažďují kvůli ověřování totožnosti, pravidlům proti praní špinavých peněz a dalším regulatorním povinnostem.
Incident zároveň ukazuje rostoucí problém spojený s nástupem generativní umělé inteligence. Vytváření přesvědčivých e-mailů, dokumentů, identit nebo úředně působících žádostí je stále jednodušší a levnější.
Finanční instituce přitom uchovávají velmi podrobné informace o svých klientech, jejich bydlišti, identitě a finančních aktivitách. Pokud se útočníkovi podaří přesvědčit zaměstnance nebo interní systém, že má na data legitimní nárok, může být výsledkem únik mimořádně citlivých informací.
Zvláštní riziko představuje kombinace osobních údajů a historie bitcoinových transakcí.
Bitcoinový blockchain je veřejný a umožňuje komukoliv sledovat přesuny prostředků mezi jednotlivými adresami. Samotná blockchainová adresa však přímo neobsahuje jméno, domácí adresu nebo číslo pasu svého majitele.
Finanční společnosti jako Revolut mohou tyto dva světy propojit. V jejich databázích mohou být konkrétní blockchainové adresy a transakce spojeny s ověřenou identitou skutečné osoby.
Pokud se podobná databáze dostane do nesprávných rukou, může útočník teoreticky zjistit nejen to, komu určité bitcoinové transakce patří, ale zároveň získat jeho jméno, adresu nebo další osobní údaje.
To může být zvlášť nebezpečné v případě majetnějších držitelů kryptoměn, kteří se mohou stát cílem phishingu, vydírání nebo dokonce fyzických útoků.
Známý blockchainový vyšetřovatel ZachXBT, který na incident upozornil prostřednictvím Telegramu, uvedl, že únik se podle dosavadních informací zdá být rozsahem relativně omezený. Zároveň připustil možnost, že terčem mohli být především klienti s vyšším majetkem.
Událost znovu otevírá debatu o tom, kolik osobních údajů musí finanční instituce skutečně uchovávat.
Jedním z možných řešení mohou být technologie založené na takzvaných zero-knowledge proofs. Ty umožňují kryptograficky prokázat určitou skutečnost, aniž by bylo nutné odhalit všechny původní informace.
Uživatel by například mohl prokázat, že úspěšně prošel ověřením identity nebo splňuje určitý regulatorní požadavek, aniž by bylo nutné při každém procesu pracovat s kompletní kopií jeho pasu, adresou nebo dalšími údaji.
S rostoucí schopností AI napodobovat lidi, dokumenty a oficiální komunikaci se tak otázka bezpečnosti postupně mění. Nejde už pouze o to, jak dobře společnosti citlivá data chrání, ale také o to, kolik jich vůbec potřebují shromažďovat, uchovávat a následně předávat.