Как хакеры от имени итальянской полиции выманили у Revolut данные 680 “криптокитов”

В пятницу, 11 сентября, Revolut разослал части клиентов письма об утечке. Запросы на раскрытие данных пришли с настоящего адреса на домене госоргана и прошли техническую проверку подлинности, поэтому их обработали как законное требование властей, объяснил Revolut клиентам. Мошенники получили имя, дату рождения, род занятий, домашний адрес, почту и телефон, копию паспорта или водительских прав и селфи, которое клиент делает при верификации. Кроме того, к ним попали выписки, номера счетов IBAN, история снятий и всех транзакций, включая операции с биткоином. Это следует из текста уведомления, который опубликовал криптодетектив ZachXBT.

Revolut говорит об “ограниченном числе” пострадавших и настаивает, что его системы и деньги клиентов не затронуты. По данным FT, компания уведомила 680 человек, но официально эту цифру она не подтверждает. Среди пострадавших, пишет FT, бывший гендиректор обанкротившейся криптобиржи Mt. Gox Марк Карпелес.

Запросы пришли через PEC — итальянскую сертифицированную электронную почту с юридической силой заказного письма. Судя по всему, использовался адрес префектуры Реджо-Калабрии на домене МВД interno.it, а подписаны письма были именем почтовой полиции, сообщает ANSA. Агентство указывает на признаки, которые банк пропустил: у почтовой полиции есть собственный адрес PEC, а к таким запросам обязательно прикладывается постановление суда, которого в письмах, по всей видимости, не было. Запросы шли порциями около пяти месяцев, пока обман не раскрылся.

Как хакеры получили доступ к ящику, неизвестно. В базе израильской компании Hudson Rock, которая отслеживает утечки, нашлось около 300 логинов к почте pec.interno.it. Их украли программы-инфостилеры, которые собирают сохраненные пароли с зараженных компьютеров. В компании считают, что хакер, скорее всего, купил готовые логи.

Ответственность взяли на себя хакеры под ником IAmNotAVillain. Они рассказали FT, что выбирали 680 целей с помощью анализа блокчейна, выискивая счета с крупными криптоактивами. Большинство пострадавших живут в Швейцарии и Франции, остальные — в 31 стране, в том числе в Великобритании, Германии и Испании. Изданию International Cyber Digest хакер заявил, что полгода имел доступ к системам нескольких подразделений итальянских силовиков и выкачал оттуда 147 ГБ данных.

С воскресенья хакеры публикуют документы и селфи клиентов, среди которых казахстанский теннисист российского происхождения Александр Шевченко и гендиректор криптоказино Gamdom Феликс Ремер, сообщил International Cyber Digest. Ремер подтвердил Cointelegraph, что получил уведомление от банка. В переписке с City AM группа, назвавшаяся Revolut Smilik, пообещала выкладывать новые данные каждый день, пока Revolut не заплатит. Прямых контактов между банком и хакерами, по данным издания, не было, а комментировать требование выкупа Revolut отказался.

Британский регулятор в сфере персональных данных ICO получил сообщение об инциденте и изучает его, а Управление по финансовому регулированию FCA выясняет у Revolut масштаб ущерба и принятые меры, сообщили их представители City AM. В Италии почтовая полиция расследует незаконный доступ к компьютерной системе и компьютерное мошенничество. К проверке подключились Банк Италии и Национальное агентство кибербезопасности ACN. Сенаторы от Демократической партии направили срочный запрос главе МВД Маттео Пьянтедози. Еще один запрос готовит депутат от “Альянса зеленых и левых” Элизабетта Пикколотти.

Для Revolut история случилась в неудобный момент. За последний год компания получила лицензии и разрешения регуляторов в Великобритании, Франции, США и ОАЭ, а при вторичной продаже ее акций ее бизнес оценили в $115 млрд. В начале сентября американский банковский регулятор OCC одобрил создание национального банка Revolut в США на предварительных условиях. Компания также рассматривает IPO с оценкой до $200 млрд. Это не первая утечка в Revolut: в 2022 году злоумышленники с помощью социальной инженерии получили данные около 50 тысяч клиентов.

Хакерам не понадобилось взламывать сам Revolut: они воспользовались каналом, через который банки обязаны быстро отвечать полиции, а банк не проверил, есть ли у запроса судебное основание. Со стороны клиента от такой атаки не защититься. Revolut утверждает, что связался со всеми пострадавшими напрямую. Если письма не было, данные, скорее всего, не утекли. Если было — стоит ждать очень правдоподобных звонков и писем от мошенников.