Dijital bankacılığın en büyük isimlerinden Revolut, alışılmışın dışında bir siber güvenlik skandalıyla karşı karşıya. Ancak bu kez saldırganların Revolut'un sistemlerine girip müşterilerin hesaplarını ele geçirmesi söz konusu değil.
Hackerlar, gerçek bir devlet kurumunun e-posta alan adını kullanarak resmi görünümlü bilgi talepleri gönderdi. Revolut da bu talepleri gerçek kabul ederek bazı müşterilerine ilişkin hassas bilgileri karşı tarafa iletti.
Şirket, olayın fark edilmesinin ardından ilgili e-posta adresini engellediğini, devlet kurumunu, kolluk kuvvetlerini, veri koruma makamlarını ve finansal düzenleyicileri bilgilendirdiğini açıkladı. Revolut ayrıca kendi sistemlerinin ve müşterilerin paralarının etkilenmediğini belirtiyor.
Olayın boyutunu çarpıcı hale getiren ise gönderilen verilerin niteliği. ekonomim.com'un edindiği bilgilere göre Revolut'un etkilenen müşterilere yaptığı bildirimlerde saldırganların eline geçmiş olabilecek bilgiler arasında pasaport veya ehliyet kopyaları, kimlik doğrulama selfie'si, ad-soyad, doğum tarihi, adres, telefon ve e-posta bilgileri bulunuyor.
Bildirimlerde IBAN ve hesap bilgileri, hesap özetleri, para çekme kayıtları ve tüm işlem geçmişinin de paylaşılmış olabileceği belirtiliyor. Kripto para kullanan müşteriler açısından en dikkat çekici ayrıntı ise işlem geçmişinin Bitcoin hareketlerini de kapsaması.
Bu nedenle olay, klasik bir kredi kartı veya banka hesabı veri sızıntısından farklı bir risk taşıyor. Kimlik belgesiyle finansal hareketlerin aynı veri setinde bulunması, saldırganların belirli müşterileri hedef alan dolandırıcılık ve kimlik hırsızlığı girişimlerinde kullanabileceği son derece değerli bir bilgi kombinasyonu oluşturuyor.
İlk açıklamalarında Revolut yalnızca “sınırlı sayıda” müşterinin etkilendiğini belirtmişti. Ancak bugün yayımlanan Financial Times haberinde şirketin 680 müşteriyi bilgilendirdiği aktarıldı. İngiltere Bilgi Komiserliği Ofisi'nin (ICO) de olayla ilgili soruşturma başlattığı bildirildi.
Daha dikkat çekici gelişme ise Türkiye tarafında yaşandı.
Revolut, olaydan etkilenen 680 zengin müşteri arasında 27 Türk'ün bulunduğu açıklandı. Revolut'un bu müşterilerle doğrudan iletişime geçtiği ve destek sağladığı bildirildi.
Dolayısıyla olay, yalnızca İngiltere veya Batı Avrupa'daki Revolut kullanıcılarını ilgilendiren bir güvenlik problemi olmaktan çıkmış durumda.
Skandalın ikinci perdesi ise çok daha büyük bir rakamla açıldı.
Saldırgan olduğunu öne süren grup, Revolut'tan 10 bin Bitcoin talep ediyor. Bitcoin'in mevcut fiyatı üzerinden bu miktar yaklaşık 780 milyon dolar değerinde.
Grup, ödeme yapılmaması halinde ele geçirdiğini iddia ettiği verileri parça parça yayımlamakla tehdit ediyor. Güncel paylaşımlarda saldırganların “her gün daha fazla veri” yayımlama tehdidinde bulunduğu aktarılıyor.
10 bin Bitcoinlik fidye talebi henüz Revolut tarafından doğrulanmış değil. Talep ve veri yayımlama tehdidi saldırganların iddiasına dayanıyor. Bağımsız kaynaklar da dolaşıma sokulan verilerin tamamının gerçek olup olmadığının henüz doğrulanamadığına dikkat çekiyor.
Olayın daha da karmaşık hale gelmesine neden olan bir başka iddia ise saldırganların kullandıkları yönteme ilişkin.
“IAmNotAVillain” adını kullanan bir sosyal medya kullanıcısı, Revolut operasyonunun yaklaşık altı ay sürdüğünü ve bilgi taleplerinin İtalyan kolluk kuvvetlerine ait ele geçirilmiş sistemler üzerinden gönderildiğini öne sürüyor.
Aynı kişi, İtalyan kolluk birimlerinden yaklaşık 147 GB veri elde ettiğini de iddia ediyor. Ancak bu iddialar şu aşamada doğrulanmış değil.
Revolut, etkilenen müşterilerle doğrudan iletişime geçtiğini açıkladı. Şirket, olayın tespit edilmesinin ardından sahte taleplerde kullanılan adresi engellediğini ve ilgili makamları bilgilendirdiğini bildirdi.
Bu nedenle Revolut hesabı bulunan kullanıcılar açısından en önemli nokta, şirketten gelen güvenlik bildirimlerini kontrol etmek.
Özellikle pasaport veya ehliyet kopyası, kimlik doğrulama fotoğrafı, IBAN, hesap özeti ya da işlem geçmişinin etkilendiği bildirilen kullanıcıların, kendi adlarına gerçekleştirilebilecek dolandırıcılık ve kimlik hırsızlığı girişimlerine karşı daha dikkatli olması gerekiyor.
Çünkü bu olayda saldırganların ele geçirdiği iddia edilen veri, yalnızca bir banka hesabının numarasından ibaret değil. Bir kişinin kimliğini doğrulamaya yarayan belge, yüz görüntüsü, adresi ve finansal hareketlerinin aynı dosyada bulunması, saldırganlara çok daha kapsamlı bir hedefleme imkanı sağlayabilir.
Revolut açısından olayın en çarpıcı tarafı da tam olarak burada.
Şirketin açıklamasına göre saldırganlar Revolut'un ana sistemlerine sızmadı. Bunun yerine güvenilir görünen bir devlet talebi üreterek şirketin kendi veri paylaşım mekanizmasını kullandı.
Yani milyonlarca müşterinin verisini koruyan sistemin kapısını kırmadılar; kapının arkasındaki verileri, gerçek bir devlet kurumundan geliyormuş gibi görünen bir talep göndererek şirketin kendisine açtırdılar.
Ve şimdi bu verilerin karşılığında 10 bin Bitcoin istiyorlar.