🚨 Утечка данных в Revolut: как мошенники обошли защиту, а банк им помог

Revolut - британский банк (как тут не вспомнить анекдот про Василия Ивановича, что джентльменам верят на слово?) получил запрос на раскрытие данных клиентов, который выглядел как официальный запрос от госоргана. Банк его безоговорочно выполнил. Оказалось - мошенники. Подробностей мало, только из информационных писем, что сам банк направил своим клиентам.

Письмо пришло не с поддельного адреса-двойника, а с настоящего домена государственного органа, какого именно - не понятно. Письмо содержало валидные учетные данные аутентификации домена, domain authentication credentials (DKIM) - технически "электронная подпись" была подлинной.

DKIM подтверждает, что письмо отправлено именно с конкретного домена и не было подделано в процессе доставки, но не подтверждает, что отправитель действует законно. Если злоумышленники получили доступ к реальному почтовому аккаунту или серверу ведомства - подпись останется валидной у мошеннического запроса.

Revolut поверили на слово, приняли запрос за легитимный и выполнили его "на основании разумного предположения". Можете себе представить, чтобы у нас какой-нибудь банк выполнил вот такой запрос?

Добровольное утекло:
🔹ФИО, дата рождения, род занятий
🔹Адрес, email, телефон
🔹Копии паспортов, водительских удостоверений + селфи для верификации
🔹Финансовые данные: IBAN, выписки, история транзакций, включая Bitcoin

Revolut настаивает, что это не взлом их систем, а "несанкционированное раскрытие". Средства клиентов не пострадали. Адрес отправителя заблокирован, уведомлены регуляторы и правоохранители, при этом точное число пострадавших не раскрывается. Предполагается, что атака могла быть нацелена на состоятельных клиентов.

Вечер пятницы, по итогу PKI