U svijetu digitalnog bankarstva i fintech usluga, povjerenje korisnika temelji se na pretpostavci da su njihovi najosjetljiviji podaci zaštićeni najmodernijim tehnološkim rješenjima. Međutim, nedavni incident koji je pogodio Revolut, jednog od najpoznatijih digitalnih banaka na svijetu, podsjeća nas na to da najslabija karika u sigurnosnom lancu često nije softver, već ljudski faktor. Revolut je potvrdio ozbiljan sigurnosni propust u kojem su podaci klijenata završili u rukama neovlaštenih osoba, ali ne zbog klasičnog hakerskog napada, već zbog sofisticirane prevare.
Ovaj slučaj je posebno alarmantan jer pokazuje kako napadači više ne moraju nužno “provaliti” u sustav koristeći kodove i ranjivosti u softveru, već mogu jednostavno “zahtijevati” pristup pod maskom autoriteta. U ovom slučaju, prevaranti su iskoristili povjerenje zaposlenika i standardne protokole za suradnju s državnim institucijama kako bi dobili pristup informacijama koje bi u normalnim okolnostima bile strogo zaštićene.
Sadržaj...
Mehanizam prevare: Socijalni inženjering iznad tehnologije
Za razliku od većine sigurnosnih incidenata u kojima čitamo o “curenju podataka” zbog loših lozinki ili propusta u bazi podataka, Revolutov slučaj je primjer naprednog socijalnog inženjeringa. Napadači nisu pokušali hakirati servere niti ukrasti pristupne podatke administratora. Umjesto toga, ciljali su na ljudske procese i protokole za postupanje sa službenim zahtjevima.
Prevaranti su poslali lažne zahtjeve za informacijama koji su izgledali potpuno legitimno. Ono što je ovaj napad učinilo izuzetno uspješnim jest činjenica da su zahtjevi stigli s autentične e-mail domene određene vladine agencije. To znači da su napadači vjerojatno prethodno kompromitirali e-mail račun unutar te agencije ili iskoristili neku drugu metodu za slanje poruka izravno s njihove infrastrukture.
Zbog toga su svi standardni tehnički mehanizmi provjere autentičnosti e-pošte, kao što su:
- SPF (Sender Policy Framework): koji provjerava dopušta li domena slanje s određenog IP-adrese.
- DKIM (DomainKeys Identified Mail): koji koristi digitalni potpis za potvrdu da je sadržaj poruke nepromijenjen.
- DMARC (Domain-based Message Authentication, Reporting, and Conformance): koji daje upute što učiniti ako SPF ili DKIM zakažu.
Svi ovi protokoli potvrdili su da poruka zaista dolazi s navedene vladine domene. Međutim, tehnička provjera domene ne može potvrditi identitet i ovlast osobe koja šalje poruku. Revolutov tim za usklađenost, vjerujući u autentičnost domene i hitnost zahtjeva, postupio je prema procedurama i predao tražene podatke.
Koje su informacije kompromitirane i kolika je opasnost?
Kada se radi o curenju podataka, razina opasnosti ovisi o tome što je točno ukradeno. U ovom slučaju, popis kompromitiranih informacija je zabrinjavajući jer obuhvaća podatke koji omogućuju visok stupanj krađe identiteta. Pogođeni korisnici obaviješteni su da su neovlaštenim osobama predani sljedeći podaci:
Prvo, radi se o osnovnim osobnim podacima kao što su puna imena, datumi rođenja, kućne adrese, e-mail adrese i brojevi telefona. Iako su ti podaci često dostupni u drugim bazama, njihova kombinacija s financijskim podacima stvara opasan alat za buduće prevare.
Drugo, i najkritičnije, predane su kopije službenih osobnih dokumenata. To uključuje putovnice i vozačke dozvole, ali i selfije koje korisnici šalju prilikom verifikacije identiteta (KYC proces). Ovi dokumenti su “zlatni rudnik” za prevarante jer im omogućuju da se u ime žrtve otvaraju novi računi u drugim bankama ili traže krediti.
Treće, curenje obuhvaća detaljne financijske informacije. To uključuje IBAN brojeve, izvatke s računa i, što je možda najinvazivnije, cjelokupnu povijest transakcija. Povijest transakcija otkriva navike potrošnje, lokacije korisnika i njihove poslovne ili privatne veze, što napadačima omogućuje izuzetno precizno profiliranje žrtve za buduće phishing napade.
Kako se zaštititi i što naučiti iz ovog incidenta?
Revolut je naglasio da su njihovi interni sustavi i sredstva klijenata (novac na računima) ostali netaknuti, što je dobra vijest. Ipak, sama činjenica da su osobni dokumenti u rukama trećih strana stvara dugoročni rizik. Ovaj incident služi kao lekcija i za tvrtke i za krajnje korisnike.
Za tvrtke, lekcija je jasna: tehnička provjera domene nije dovoljna. Potrebni su dodatni koraci verifikacije, poput potvrde putem drugog kanala komunikacije (npr. telefonski poziv na službeni broj agencije) prije slanja osjetljivih podataka, bez obzira na to koliko zahtjev izgleda službeno.
Korisnici, s druge strane, trebaju biti na oprezu čak i ako koriste sigurnost fintech aplikacija. Evo nekoliko praktičnih savjeta za povećanje sigurnosti:
- Pratite svoje račune: Redovito provjeravajte izvatke s računa na svim svojim bankovnim računima kako biste uočili neovlaštene transakcije.
- Budite skeptični prema komunikaciji: Ako primite neobičan poziv ili e-mail koji referira na vaše osobne podatke, budite oprezni. Prevaranti koji imaju vaše podatke mogu zvučati vrlo uvjerljivo.
- Koristite dvostruku autentifikaciju (2FA): Gdje god je moguće, uključite dodatne slojeve sigurnosti koji ne ovise samo o e-pošti.
- Redovito mijenjajte lozinke: Iako ovdje nije došlo do krađe lozinki, dobra je praksa koristiti jedinstvene i složene lozinke za svaki servis.
Zaključak
Slučaj Revoluta pokazuje da je u modernom digitalnom dobu ljudska psihologija često lakši cilj od enkripcije i vatrozidnih zidova. Napad putem legitimne vladine domene pokazuje razinu sofisticiranosti prevaranata koji znaju kako manipulirati povjerenjem u institucije. Iako je broj pogođenih korisnika prema tvrdnjama tvrtke “ograničen”, širina kompromitiranih podataka – od putovnica do povijesti transakcija – zahtijeva maksimalan oprez svih pogođenih strana.
Ovaj incident podsjeća sve nas da sigurnost nije stanje, već kontinuiran proces. Bez obzira na to koliko je tehnologija napredna, kritičko razmišljanje i stroga provjera identiteta ostaju najjači alati u borbi protiv digitalnih prevara.
Često postavljana pitanja (FAQ)
Je li moj novac siguran u Revolutu nakon ovog incidenta?
Da, Revolut je potvrdio da njihovi interni sustavi i sredstva klijenata nisu pogođeni. Prevara je bila usmjerena na izdavanje podataka, a ne na krađu sredstava s računa.
Što trebam učiniti ako sam pogođen ovim curenjem podataka?
Prvo, pažljivo pročitajte obavijest koju ste primili od Revoluta. Preporučuje se povećan oprez pri primanju sumnjivih e-mailova i poziva, kao i redovito praćen
