Przejście z tradycyjnej bankowości do przestrzeni cyfrowej miało przynieść klientom nie tylko wyższy komfort obsługi, ale również nową jakość zabezpieczeń opartą na najnowocześniejszych algorytmach. Cyfrowe instytucje finansowe budują swój wizerunek na fundamencie technologicznej nieomylności, przekonując użytkowników, że ich zasoby oraz dane osobowe są chronione w sposób niedostępny dla klasycznych placówek.
Tymczasem rzeczywistość po raz kolejny weryfikuje te zapewnienia w sposób skrajnie bolesny dla klientów. Naruszenie bezpieczeństwa w strukturach fintechowego giganta Revolut – banku obsługującego ponad 80 milionów użytkowników na świecie, w tym 3,4 miliona w samej Irlandii, ukazało fundamentalne luki w procedurach weryfikacyji oraz bezpieczeństwa. Co kluczowe dla użytkowników korzystających z rachunków z irlandzkim prefiksem IBAN, istnieje poważne prawdopodobieństwo, że ich wrażliwe informacje znalazły się w rękach przestępców.
Niezwykle niepokojący jest mechanizm, za pomocą którego dokonano wyłudzenia danych. Wbrew powszechnym wyobrażeniom o skomplikowanych atakach hakerskich i przełamywaniu kodów źródłowych, systemy instytucji poddały się socjotechnice na poziomie proceduralnym. Przestępcy weszli w posiadanie oficjalnej domeny pocztowej należącej do agencji rządowej, a następnie wystosowali sfałszowane wnioski o udostępnienie danych klientów. Zamiast wdrożyć dodatkową weryfikację tożsamości pytającego, mechanizmy Revoluta przetworzyły te żądania jako prawnie wiążące i obowiązkowe. W efekcie instytucja finansowa sama przekazała oszustom całe pakiety niezwykle poufnych informacji.
Zakres ujawnionych materiałów jest porażający i stwarza bezpośrednie zagrożenie dla dotkniętych tym procederem osób. Z informacji ujawnionych przez serwis TechCrunch wynika, że w ręce niepowołanych podmiotów trafiły nie tylko imiona, nazwiska, numery telefonów, adresy e-mail czy daty urodzenia. Przestępcy uzyskali dostęp do pełnych adresów zamieszkania, numerów IBAN, a przede wszystkim do cyfrowych kopii dokumentów tożsamości, w tym paszportów oraz praw jazdy. Posiadanie tak kompleksowego zestawu danych umożliwia oszustom nie tylko prowadzenie precyzyjnych ataków phishingowych, ale również zaciąganie zobowiązań finansowych na konto ofiar czy przejmowanie tożsamości w innych usługach cyfrowych.
Revolut stanowczo odpiera zarzuty o zhakowanie infrastruktury, tłumacząc, że jego bazy danych pozostały nienaruszone, a cała sprawa dotyczy „bardzo ograniczonej grupy klientów”. Firma odmówiła jednak precyzyjnej odpowiedzi na pytania dotyczące dokładnej liczby poszkodowanych, w tym osób z irlandzkim prefiksem, a także nie ujawniła, czy o fakcie naruszenia poinformowano Bank Centralny Irlandii.
Mimo że fintech deklaruje bezpośredni kontakt z poszkodowanymi, standardy przejrzystości w sytuacji zarządzania kryzysowego budzą powszechne wątpliwości. Wątpliwości te potęguje fakt, że do incydentu doszło w kluczowym dla spółki momencie, więc podczas przygotowań do giełdowego debiutu, a wycenianego na 200 miliardów dolarów oraz ekspansji na rynku amerykańskim.
*
W obliczu zaistniałej sytuacji każdy użytkownik posiadający konto z irlandzkim numerem IBAN powinien zweryfikować stan swojego rachunku oraz zachować szczególną czujność. Nieoczekiwane wiadomości SMS, maile wzywające do zalogowania się do banku czy próby telefonicznego kontaktu ze strony osób podających się za przedstawicieli organów ścigania mogą być bezpośrednią konsekwencją tego wycieku. Przypadek pokazuje jednoznacznie, że w erze cyfrowej tożsamości największym zagrożeniem nie jest technologia, lecz ślepy automatyzm proceduralny. Bezpieczeństwo własnych danych wymaga natomiast, stałej weryfikacji i ograniczonego zaufania nawet do tych podmiotów, które mianują się liderami innowacji.
Bogdan Feręc
Źr. Independent
Photo by Sophie Dupau on Unsplash