Revolut передал мошенникам данные клиентов после запроса, который выглядел как официальный запрос государственного органа. В пакет вошли копии документов, селфи для проверки личности, адреса, телефоны, банковские реквизиты и история операций, включая Bitcoin. Позже компания выяснила, что запрос был неавторизованным. Об инциденте сообщил CoinDesk.
⠀
Недавно мы уже разбирали, как централизованная проверка личности собирает в одной точке настоящие документы миллионов людей. У Revolut сработал другой канал той же уязвимости: компания сама выгрузила данные через штатную процедуру раскрытия информации государству.
⠀
Для такой атаки достаточно доступа к доверенному административному интерфейсу. Если письмо приходит из настоящего домена ведомства и проходит обычную почтовую аутентификацию, запрос выглядит легитимным для службы, которая обязана отвечать полиции, прокуратуре или регулятору. Защита самого банковского хранилища при этом может оставаться целой.
⠀
Состав утечки делает последствия особенно тяжёлыми. Паспорт, селфи, адрес, IBAN и криптовалютная история связывают реальную личность с финансовым и блокчейн-графом. Такой набор можно использовать для точечного фишинга, обхода процедур восстановления доступа и поиска других активов клиента.
⠀
Следующий вопрос — был ли Revolut единственной целью? Если тот же скомпрометированный государственный адрес отправлял запросы другим банкам, биржам или платформам, речь идёт уже о повторяемом способе получать результаты государственного доступа без участия самого государства.
⠀
Психоистория #Крипта