U svijetu digitalnog bankarstva i fintech usluga, sigurnost podataka smatra se apsolutnim prioritetom. Međutim, nedavni incident koji je pogodio Revolut, jednog od najvećih igrača u ovom sektoru, podsjeća nas na to da najslabija karika u sigurnosnom lancu često nije softver, već ljudski faktor. Revolut je potvrdio ozbiljan sigurnosni propust u kojem su osjetljivi podaci klijenata završili u rukama neovlaštenih osoba, ali ne zbog klasičnog hakerskog napada, već putem sofisticirane prevare.
Za razliku od uobičajenih sigurnosnih kršenja gdje hakeri pokušavaju probiti zaštitne zidove servera ili ukrasti lozinke putem phishinga, ovaj slučaj predstavlja primjer naprednog socijalnog inženjeringa. Napadači su ciljali samu proceduru kojom Revolut obrađuje službene zahtjeve državnih institucija, koristeći legitimne kanale komunikacije kako bi stekli povjerenje zaposlenika i dobili pristup podacima koji bi inače bili strogo zaštićeni.
Sadržaj...
Mehanizam prevare: Zašto tehničke provjere nisu bile dovoljne?
Ono što ovaj incident čini posebno opasnim jest činjenica da su napadači uspjeli zaobići standardne tehničke sigurnosne protokole. Prevaranti nisu poslali e-poštu s nasumične ili sumnjive adrese; umjesto toga, zahtjevi su stigli s autentične e-mail domene stvarne vladine agencije. To je stvorilo iluziju potpune legitimnosti koja je prevarila i sustave i ljude.
U modernoj komunikaciji postoje standardi poput SPF-a, DKIM-a i DMARC-a koji služe za provjeru autentičnosti e-pošte. Ovi protokoli potvrđuju da je poruka doista poslana s navedene domene i da nije promijenjena tijekom prijenosa. Međutim, oni ne mogu potvrditi identitet ili ovlaštenje konkretne osobe koja šalje poruku ako je ta osoba (ili napadač koji je preuzeo kontrolu nad računom) već unutar legitimnog sustava. Revolutov tim za usklađenost, vidjevši da su svi tehnički parametri ispravni, obradio je zahtjeve u skladu s internim procedurama za hitne službene upite, ne prepoznavši da je riječ o manipulaciji.
Koji su podaci kompromitirani i kolika je šteta?
Iako Revolut tvrdi da su pogođeni samo “ograničeni” broj korisnika, popis podataka koji su predani trećoj strani je zastrašujuć. Ne radi se samo o osnovnim kontakt informacijama, već o dokumentaciji koja omogućuje kompleksne krađe identiteta. Kompromitirani podaci uključuju:
- Osobni podaci: Puna imena, datumi rođenja, kućne adrese, e-mail adrese i brojevi telefona.
- Identifikacijski dokumenti: Digitalne kopije putovnica i vozačkih dozvola, kao i selfiji koji se koriste za KYC (Know Your Customer) verifikaciju identiteta.
- Financijski podaci: IBAN brojevi računa i detaljni izvatci s računa.
- Povijest transakcija: Cjelokupni zapisi o tome tko je, kada, koliko i kome poslao novac.
Kritična točka ovog curenja je predaja selfija za verifikaciju i kopija putovnica. Ti podaci su izuzetno vrijedni na crnom tržištu jer omogućuju prevarantima da otvaraju nove račune u drugim bankama ili traže kredite u ime žrtava, imitirajući njihov identitet s visokom razinom preciznosti.
Kako se zaštititi od krađe identiteta nakon curenja podataka?
Revolut je naglasio da njihovi interni sustavi i sredstva klijenata nisu izravno pogođeni, što znači da novac nije ukraden izravno s računa. Ipak, rizik za korisnike ostaje visok zbog mogućnosti zlouporabe osobnih dokumenata. Ako sumnjate da su vaši podaci bili dio ovog ili sličnog curenja, preporučuje se poduzimanje sljedećih koraka:
Prvo, povećajte oprez pri primanju nepoznatih poziva i poruka. Prevaranti koji posjeduju vašu povijest transakcija mogu zvučati vrlo uvjerljivo, citirajući točne iznose vaših nedavnih plaćanja kako bi vas uvjerili da su oni zapravo službenici banke ili policije. Drugo, aktivirajte dvostruku autentifikaciju (2FA) na svim važnim računima, posebno onima povezanim s e-poštom i financijama.
Također, preporučuje se redovito praćenje kreditnih izvještaja i bankovnih izuzetaka. Bilo kakva neobjašnjiva aktivnost, poput pokušaja otvaranja novog računa ili nepoznatih troškova, treba odmah biti prijavljena nadležnim institucijama. U slučajevima gdje su kompromitirani službeni dokumenti poput putovnice, korisnici bi trebali razmotriti konzultacije s policijom o mogućnosti preventivne prijave gubitka ili zlouporabe podataka.
Zaključak
Slučaj Revoluta služi kao ozbiljan podsjetnik da tehnologija sama po sebi nije dovoljna za sigurnost. Čak i najnapredniji protokoli za provjeru e-pošte mogu biti beskorisni ako napadači uspiju manipulirati ljudskim procesima odlučivanja. Socijalni inženjering ostaje jedan od najopasnijih alata u rukama modernih kriminalaca jer ne napada kod, već povjerenje.
Za fintech tvrtke, ovaj incident ukazuje na potrebu za strožim procesima provjere identiteta čak i kada zahtjevi dolaze s “legitimnih” vladinih domena. Za korisnike, lekcija je jasna: budite skeptični i maksimalno zaštitite svoje digitalne identitete, jer jednom kada dokumenti poput putovnice procure, povratak kontrole nad privatnošću postaje izuzetno težak proces.
Česta pitanja (FAQ)
Je li moj novac siguran na Revolutu?
Prema službenom priopćenju Revoluta, njihovi sustavi i sredstva klijenata nisu pogođeni. Napad nije bio usmjeren na krađu novca s računa, već na prikupljanje informacija o korisnicima.
Što je to socijalni inženjering?
Socijalni inženjering je psihološka manipulacija kojom napadači navode ljude da otkriju povjerljive informacije ili izvrše određene radnje (poput slanja podataka) vjerujući da komuniciraju s legitimnim izvorom.
Zašto SPF i DMARC nisu spriječili prevaru?
Ti protokoli samo potvrđuju da je e-mail poslan s ispravne domene. Ako napadač ima pristup legitimnom računu unutar vladine agencije, e-mail će proći sve tehničke provjere, iako osoba koja ga šalje nije ovlaštena tražiti te podatke.
