Revolut обяви, че трета страна е получила неоторизиран достъп до поверителни данни на клиенти. Особеното в случая е, че няма технически пробив в класическия смисъл. Атакуващите са използвали социално инженерство: изпратили са официално изглеждащи заявки за данни от имейл домейн на легитимна държавна институция, а заявките са преминали вътрешните проверки за автентичност.
Какво се знае
- Според уведомление до литовския орган за защита на данните засегнатите клиенти са 50 150, като по-малко от половината са в ЕС и Норвегия. Няма данни за засегнати клиенти в България.
- Изтекли са имена, дати на раждане, адреси, имейли, телефони, копия на документи, селфита за верификация, извлечения, IBAN и история на крипто транзакции.
- Не се съобщава за изтичане на биометрични данни, пароли и ПИН кодове.
- Revolut блокира имейл адреса, уведоми полицията и регулаторите и заяви, че системите и средствата на клиентите не са компрометирани.
- Група, наричаща себе си „Revolut Smilik“, по информация в публикациите е поискала откуп от 10 000 биткойна.
Защо социалното инженерство работи
Процесите за проверка често се фокусират върху формата, а не върху контекста. Официален домейн, правилно оформен документ и спешност са достатъчни, за да мине заявка, ако никой не потвърди по независим канал. Същата логика се използва и срещу малки фирми: фалшиви фактури, „смяна на банкова сметка“ от доставчик, заявки от уж счетоводител.
Пет урока за всяка фирма
- Потвърждение по втори канал. Всяка заявка за данни, плащане или промяна на сметка се потвърждава с обаждане на известен номер, не на номера от писмото.
- Защита на телефонния номер. Revolut препоръчва ПИН при мобилния оператор или блокиране на преноса на номера, за да се намали рискът от SIM swap.
- Двуфакторна защита, устойчива на фишинг. Приложение или физически ключ вместо SMS, където е възможно.
- Минимум данни. Колкото по-малко лични данни съхранявате, толкова по-малко може да изтече.
- Защита на домейна. SPF, DKIM и DMARC правят по-трудно изпращането на писма от Ваше име.
Къде влиза сайтът
Формулярите на сайта често събират повече данни, отколкото е нужно. При проектите ни събираме само необходимото, показваме ясна информация за поверителност и защитаваме формулярите от спам. Свързано: защо мениджърите са честа цел на рансъмуер атаките.
Източник на темата: Digitalk: Не хакери, а социалните инженери пробиха Revolut. Текстът е самостоятелен анализ на Penkov Studio.
