Fintech şirketi Revolut, sahte resmi bilgi talepleri üzerinden müşterilerinin hassas verilerinin üçüncü kişilere gönderildiği bir güvenlik olayıyla karşı karşıya. Aralarında 27 Türk müşterinin de bulunduğu 680 kişinin etkilendiği belirtilen olayda, kimlik belgelerinden banka hesaplarına ve işlem geçmişlerine kadar çok sayıda bilginin saldırganların eline geçmiş olabileceği bildirildi.
Olayın diğer veri sızıntılarından ayrılan yönü ise saldırganların Revolut'un sistemlerine doğrudan girmemesi. İddiaya göre gerçek bir devlet kurumuna ait e-posta alan adı kullanılarak şirkete resmi görünümlü bilgi talepleri iletildi ve Revolut bu talepleri gerçek sanarak bazı müşteri verilerini paylaştı.
Şirket, durumu tespit ettikten sonra söz konusu e-posta adresini engellediğini ve ilgili devlet kurumu, kolluk birimleri, veri koruma otoriteleri ile finansal düzenleyicileri bilgilendirdiğini açıkladı. Revolut ayrıca ana sistemlerinin ve müşterilerin paralarının bu olaydan etkilenmediğini belirtti.
KİMLİK VE FİNANSAL BİLGİLER AYNI ANDA ELE GEÇİRİLDİ
Etkilenen müşterilere gönderilen bildirimlerde, saldırganların erişmiş olabileceği veriler arasında pasaport ve ehliyet kopyaları ile kimlik doğrulama sırasında çekilen fotoğrafların bulunduğu belirtildi.
Ad, soyad, doğum tarihi, adres, telefon ve e-posta gibi kişisel bilgilerin yanı sıra IBAN ve hesap bilgileri, hesap özetleri, para çekme kayıtları ve işlem geçmişlerinin de paylaşılmış olabileceği ifade edildi.
Kripto para kullanan müşteriler açısından riskin daha da arttığı belirtiliyor. Çünkü işlem geçmişlerinin Bitcoin hareketlerini de içerebildiği aktarılıyor.
Kimlik belgeleriyle finansal hareketlere ilişkin bilgilerin aynı veri setinde bulunması, söz konusu verilerin kimlik hırsızlığı ve kişiye özel dolandırıcılık girişimleri açısından kullanılabilmesi riskini artırıyor.
680 MÜŞTERİ BİLGİLENDİRİLDİ
İlk aşamada olayın sınırlı sayıda müşteriyi etkilediğini açıklayan Revolut'un daha sonra 680 müşteriye bildirim gönderdiği aktarıldı. İngiltere Bilgi Komiserliği Ofisi'nin (ICO) de olayla ilgili soruşturma başlattığı bildirildi.
Etkilenen müşteriler arasında 27 Türk vatandaşının bulunduğu belirtildi. Revolut'un bu kişilerle doğrudan iletişime geçerek destek sağladığı kaydedildi.
SALDIRGANLARDAN 10 BİN BİTCOİN TALEBİ
Veri olayının ardından saldırgan olduğunu öne süren bir grubun Revolut'tan 10 bin Bitcoin istediği iddia edildi. Söz konusu miktar, Bitcoin'in mevcut değeri üzerinden yaklaşık 780 milyon dolara karşılık geliyor.
Grubun, ödeme yapılmaması halinde ele geçirdiğini iddia ettiği verileri kademeli olarak yayımlamakla tehdit ettiği öne sürülüyor.
Ancak 10 bin Bitcoinlik fidye talebinin Revolut tarafından doğrulanmadığı belirtiliyor. Aynı şekilde internette paylaşılan verilerin tamamının gerçekten Revolut müşterilerine ait olup olmadığı da bağımsız olarak doğrulanmış değil.
İTALYAN KOLLUK BİRİMLERİYLE İLGİLİ İDDİA
“IAmNotAVillain” adını kullanan bir sosyal medya hesabı ise saldırının yaklaşık altı ay sürdüğünü ve sahte bilgi taleplerinin İtalyan kolluk kuvvetlerine ait ele geçirilmiş sistemler kullanılarak gönderildiğini öne sürdü.
Aynı hesap, İtalyan kolluk birimlerinden yaklaşık 147 GB veri elde edildiğini de iddia etti. Bu iddialar henüz bağımsız kaynaklar tarafından doğrulanmadı.
REVOLUT KULLANICILARINA UYARI
Şirket, olaydan etkilenen müşterilerle doğrudan iletişime geçtiğini belirtti. Özellikle kimlik belgesi, kimlik doğrulama fotoğrafı, IBAN, hesap özeti veya işlem geçmişinin etkilendiği bildirilen kullanıcıların olası dolandırıcılık girişimlerine karşı dikkatli olması önem taşıyor.
Olayın dikkat çeken yönü ise saldırganların sisteme teknik bir saldırıyla girmek yerine, güvenilir bir kurumdan geliyormuş izlenimi veren sahte taleplerle şirketin veri paylaşım sürecini kullanmış olması.
Başka bir ifadeyle, saldırganların iddiasına göre Revolut'un güvenlik duvarını aşmak yerine şirketin kendi çalışanlarını yanıltarak verilere ulaşmaları sağlandı.
