Resumo:
Revolut, a conhecida gigante britânica de tecnologia financeira, confirmou oficialmente que a empresa sofreu um ataque fraudulento por hackers usando solicitações de dados de emergência (EDRs) falsas do governo e de agências de aplicação da lei, resultando no vazamento de dados pessoais de privacidade de alguns clientes. Este incidente de segurança cibernética expôs mais uma vez o risco de novos ataques de engenharia social aos canais de conformidade e revisão legal das empresas de tecnologia. As agências reguladoras e autoridades de proteção de dados envolvidas no caso intervieram agora na investigação. Cartas forjadas de aplicação da lei do governo foram reveladas secretamente, e o gigante bancário digital Revolut confirmou que ocorreu uma violação de dados de clientes
O gigante bancário digital Revolut confirmou recentemente que sofreu um incidente de segurança envolvendo o vazamento de dados pessoais de um cliente. Os invasores usaram solicitações falsas de comprovação legal do governo e das agências de aplicação da lei, altamente simuladas, para contornar com êxito os processos internos de conformidade e revisão e obter ilegalmente informações confidenciais de alguns clientes.
De acordo com informações divulgadas pela Revolut aos usuários afetados e às agências reguladoras, o grupo de hackers enviou instruções emergenciais de divulgação de informações à equipe de processamento de solicitações de dados da plataforma, falsificando cartas oficiais, e-mails e credenciais eletrônicas de departamentos governamentais legítimos ou agências de aplicação da lei. Esse tipo de solicitação forjada era extremamente enganosa em aparência e formato, fazendo com que o suporte interno relevante e o pessoal de conformidade legal fizessem julgamentos errados durante o processo de verificação e, por fim, processassem e divulgassem os dados de histórico de algumas contas em conformidade com os regulamentos.
Os dados vazados envolvem principalmente informações básicas de identificação pessoal de alguns clientes afetados, incluindo nomes completos, endereços de e-mail registrados, números de telefone e alguns registros de histórico de transações e metadados de contas. A Revolut enfatizou que as principais credenciais de segurança financeira, como credenciais de login dos usuários, senhas, códigos PIN dinâmicos e números de cartão bancário, não foram afetadas. Os fundos e ativos dos usuários na plataforma são absolutamente seguros e a arquitetura de criptografia subjacente do próprio sistema não foi tecnicamente violada.
Depois que o mecanismo de segurança interno capturou o padrão anormal de fluxo de dados, a Revolut lançou imediatamente um processo de resposta de emergência, bloqueou links de ataque relevantes e lançou uma auditoria retrospectiva abrangente de todos os pedidos de investigação de assistência policial pendentes e históricos. Ao mesmo tempo, a agência comunicou oficialmente o incidente aos reguladores de protecção de dados e às agências de aplicação da lei dos países relevantes, e está a cooperar com agências profissionais de segurança cibernética para localizar as entidades específicas ou grupos de hackers por detrás dos pedidos forjados.
Este incidente expôs mais uma vez o risco de um novo tipo de ataque de engenharia social às empresas de tecnologia financeira - isto é, contornando firewalls técnicos e visando diretamente canais de conformidade não técnicos para lidar com assuntos jurídicos e governamentais com fraude precisa. Para evitar que incidentes semelhantes voltem a acontecer, a Revolut disse que está a reconstruir exaustivamente o seu sistema de fundamentação e revisão jurídica, a introduzir um mecanismo de verificação offline multipartidário mais rigoroso e a atualizar os seus processos automatizados antifraude e de verificação cruzada de credenciais para lidar com ataques cada vez mais complexos de autorizações governamentais falsas. Atualmente, os usuários afetados têm recebido notificações de segurança exclusivas, uma após a outra. A empresa recomenda que os usuários relevantes estejam mais vigilantes no futuro próximo e prestem atenção à detecção de phishing secundário ou fraude de SMS implementada por falsos funcionários oficiais de atendimento ao cliente.
Comentários