İngiliz finans teknolojileri şirketi Revolut, bir devlet kurumuna ait gerçek e-posta alan adından gönderilen sahte bilgi taleplerine yanıt vererek yüzlerce müşterisinin hassas kişisel verilerini yetkisiz kişilere teslim ettiğini doğruladı.
Financial Times'ın konu hakkında bilgi sahibi kaynaklara dayandırdığı haberine göre ilk incelemeler sonucunda olaydan 680 müşterinin etkilendiği düşünülüyor. Revolut, etkilenen kişilerin sayısını resmi olarak açıklamazken yalnızca "sınırlı sayıda" müşterinin verilerinin paylaşıldığını belirtti.
Olay klasik anlamda Revolut'un sistemlerine girilerek gerçekleştirilen bir tür veri ihlalinden farklı. Şirketin açıklamasına göre yetkisiz bir üçüncü taraf, gerçek bir devlet kurumuna ait e-posta alan adını kullanarak Revolut'a müşteriler hakkında bilgi talebi gönderdi. Talebin resmi bir makamdan geldiğini düşünen Revolut ise istenen bilgileri karşı tarafa iletti.
Şirket, olayı "karmaşık bir kimliğe bürünme dolandırıcılığı" diye tanımlıyor.
Etkilenen müşterilere gönderilen ve TechCrunch'ın haberleştirdiği bildirime göre açığa çıkan bilgiler arasında müşterilerin doğum tarihleri, ev ve e-posta adresleri ile telefon numaraları var.
Bunun yanı sıra pasaport ve sürücü belgesi gibi kimlik belgelerinin kopyaları da yetkisiz kişilerle paylaşılmış olabilir.
Revolut'un bildirimine göre sızdırılan bilgiler arasında ayrıca müşterilerin kimlik doğrulama sırasında çektikleri selfie'ler, hesap ekstreleri ve işlem geçmişleri de yer alıyor olabilir.
Financial Times ise paylaşılan veriler arasında banka hesap numaraları, kimlik kartları, doğrulama fotoğrafları ve Bitcoin faaliyetlerine ilişkin bilgilerin de bulunduğunu bildirdi.
Habere göre olayın arkasında olduğunu öne süren bilgisayar korsanları, Revolut'un fidye ödememesi halinde ele geçirdikleri müşteri bilgilerini kamuoyuna açıklamakla tehdit ediyor. Hackerların 785 milyon dolarlık Bitcoin istediği iddia ediliyor.
Olayın en dikkat çekici yönlerinden biri saldırganların tamamen sahte görünen bir e-posta adresi kullanmak yerine, gerçek bir devlet kurumuyla bağlantılı e-posta adresini ele geçirmiş olması.
İddiaya göre saldırgan, erişim sağladığı gerçek bir devlet e-posta hesabını kullanarak bazı Revolut müşterileri hakkında özel bilgi talebinde bulundu. Revolut da talebi meşru kabul ederek hassas bilgileri gönderdi.
Şirket, hangi devlet kurumunun e-posta sisteminin kullanıldığını açıklamadı. Olayın hangi ülkelerdeki müşterileri etkilediği de bilinmiyor.
Revolut, dolandırıcılığı fark etmesinin ardından söz konusu e-posta adresini derhal engellediğini ve ilgili devlet kurumunu, kolluk kuvvetlerini ve düzenleyici makamları bilgilendirdiğini açıkladı.
Şirket ayrıca kendi sistemlerinin hacklenmediğini ve müşteri fonlarının olaydan etkilenmediğini vurguladı.
İngiltere'nin veri koruma otoritesi Bilgi Komiserliği Ofisi (ICO), pazartesi günü olayla ilgili inceleme başlattığını açıkladı.
Olay, kurumların resmi makamlardan geldiği düşünülen veri taleplerini nasıl doğruladığına ilişkin güvenlik süreçlerini de gündeme getirdi. Saldırganların gerçek ve güvenilir bir kuruma ait hesabı ele geçirmesi, yalnızca gönderenin e-posta adresinin doğrulanmasının hassas verilerin paylaşılması için yeterli olmayabileceğini gösteriyor.
Verileri paylaşılan kişiler arasında bir dönem dünyanın en büyük Bitcoin borsası olan Mt. Gox'un eski CEO'su Mark Karpelès de bulunuyor.
Karpelès, 12 Eylül sabahı saat 05. 25'te Revolut'tan bir e-posta aldığını ve şirketin kendisini kişisel bilgilerinin risk altında olabileceği konusunda uyardığını söyledi.
Karpelès, bildirimi ilk gördüğünde bunun da bir dolandırıcılık girişimi olduğunu düşündüğünü belirterek başlangıçta Revolut adına üzüldüğünü anlattı.
Ancak daha sonra şirketin, talep doğrulanmış bir devlet e-posta adresinden gelmiş olsa bile bu bilgileri paylaşmaması gerektiği sonucuna vardığını söyledi.
Kripto para dünyasının tanınmış güvenlik araştırmacılarından ZachXBT de Revolut'un etkilenen müşterilere gönderdiği bildirimi cuma günü yayımladı. ZachXBT, saldırının özellikle yüksek servete sahip müşterileri hedef almış olabileceğini öne sürdü.
2015'te kurulan Londra merkezli Revolut, bugün dünyanın en büyük finans teknolojileri şirketlerinden biri konumunda. Şirketin küresel ölçekte 80 milyondan fazla müşterisi var ve 30'dan fazla ülkede faaliyet gösteriyor.
Şirket son dönemde Hindistan, Meksika, Fransa ve Birleşik Arap Emirlikleri gibi pazarlardaki faaliyetlerini genişletirken Avrupa'daki bankacılık operasyonlarını da büyütüyor.
Veri ihlali aynı zamanda Revolut'un olası halka arz planlarının tartışıldığı bir döneme denk geldi. Şirketin gelecekte gerçekleştirebileceği bir halka arzda değerlemesinin 200 milyar dolara kadar çıkabileceği öne sürülüyor.