Revolut'ta veri skandalı! 680 müşterinin bilgileri sahte devlet talebiyle sızdırıldı

İngiltere merkezli fintech şirketi Revolut, gerçek bir devlet kurumunun e-posta alan adının kullanıldığı sahte talepler nedeniyle müşteri bilgilerinin yetkisiz kişilere aktarıldığını doğruladı. Yaklaşık 680 müşterinin etkilendiği belirtilirken, bilgisayar korsanları verileri yayımlama tehdidinde bulundu. İngiltere'nin Bilgi Komiserliği Ofisi olayı soruşturuyor.

İngiltere merkezli finans teknolojisi şirketi Revolut, müşterilerini ilgilendiren ciddi bir veri güvenliği olayını doğruladı.

Şirketin açıklamasına göre; saldırganlar, meşru bir devlet kurumunun e-posta alan adını kullanarak sahte bilgi talepleri gönderdi. Taleplerin gerçek bir devlet kurumundan geldiği izlenimine kapılan Revolut çalışanları, bazı müşterilere ait hassas bilgileri yetkisiz üçüncü tarafa aktardı.

Revolut, olayın şirketin sistemlerine veya müşterilerin paralarına yönelik doğrudan bir sızma olmadığını belirtti. Şirket, etkilenen müşterilerle iletişime geçildiğini ve ilgili kurumlar ile güvenlik birimlerinin bilgilendirildiğini açıkladı.

Revolut veri ihlalinde kaç müşteri etkilendi?

Revolut ilk açıklamasında etkilenen müşteri sayısını açıklamamış ve olayın “çok sınırlı” sayıda kullanıcıyı etkilediğini belirtmişti.

Daha sonra Financial Times'ın aktardığı bilgilere göre; şirket, 680 müşteriye ulaşarak veri ihlalinden etkilenmiş olabileceklerini bildirdi. İngiltere Bilgi Komiserliği Ofisi (ICO) ise Revolut'un olayı bildirmesinin ardından soruşturma yürüttüğünü açıkladı.

Dolayısıyla 680 rakamı, ilk Revolut açıklamasındaki resmi sayı değil; olayın sonraki aşamasında ortaya çıkan müşteri sayısı olarak aktarılıyor.

Revolut müşterilerinin hangi bilgileri sızdırıldı?

Olayın en dikkat çekici taraflarından biri, yalnızca isim ve iletişim bilgilerinin değil, bazı müşterilerin kimlik belgelerine ilişkin verilerin ve finansal bilgilerinin de potansiyel olarak paylaşılmış olması.

TechCrunch'ın Revolut tarafından etkilenen müşterilere gönderilen bildirime dayandırdığı bilgilere göre açığa çıkmış olabilecek veriler arasında:

• Doğum tarihi
• Posta adresi
• E-posta adresi
• Telefon numarası
• Pasaport ve ehliyet gibi kimlik belgelerinin kopyaları
• Doğrulama amaçlı selfie'ler
• Hesap dökümleri
• IBAN bilgileri
• Para çekme kayıtları
• İşlem geçmişleri
• Bitcoin işlemleri

yer alıyor. Ancak her etkilenen müşterinin bu verilerin tamamının sızdırıldığı anlamına gelmiyor; Revolut'un bildirimlerinde hangi verilerin hangi müşteriye ait olduğunun belirtildiği aktarılıyor.

Revolut nasıl kandırıldı?

Olayın merkezinde klasik bir sistem saldırısından ziyade kimlik taklidi ve sosyal mühendislik bulunuyor.

Saldırganların, gerçek bir devlet kurumuna ait e-posta alan adından geliyormuş gibi görünen bilgi talepleri oluşturduğu bildiriliyor.

Revolut da olayı “sofistike bir dış kimlik taklidi dolandırıcılığı” olarak tanımladı. Şirket, saldırıyı tespit ettikten sonra kullanılan e-posta adresini engellediğini ve ilgili devlet kurumlarını, kolluk kuvvetlerini ve düzenleyici kurumları bilgilendirdiğini açıkladı.

Bu nedenle olayın “Revolut'un bütün sistemi hacklendi” şeklinde özetlenmesi doğru olmaz. Şirketin açıklamasına göre müşteri fonları ve Revolut sistemleri etkilenmedi; hassas müşteri bilgileri sahte talepler üzerinden yetkisiz kişiye aktarıldı.

Hackerlar Revolut'tan fidye mi istiyor?

Verileri ele geçirdiğini iddia eden kişiler, bilgileri kamuoyuna açıklamakla tehdit ediyor ve Revolut'tan fidye talep ediyor.

Financial Times'ın 15 Eylül tarihli haberinde saldırganların, İtalya'daki bir devlet e-posta sistemine erişim sağladıklarını ve bu altyapıyı Revolut'tan müşteri bilgileri istemek için kullandıklarını iddia ettikleri aktarılıyor. Ancak bu iddiaların tamamının bağımsız olarak doğrulanmış olmadığı da belirtiliyor.

Bazı haberlerde saldırganların 10 bin Bitcoin talep ettiği öne sürülürken, bu rakamı kesinleşmiş bir Revolut talebi gibi sunmamak gerekiyor.

Mt. Gox'un eski CEO'su da etkilendi

Verileri paylaşılan müşteriler arasında kripto para borsası Mt. Gox'un eski CEO'su Mark Karpelès de bulunuyor.

Karpelès, 12 Eylül'de Revolut'tan aldığı mesajla bilgilerinin risk altında olabileceği konusunda uyarıldığını açıkladı. Olay sonrasında Revolut'un devlet kurumu alan adından gelen talepleri daha kapsamlı biçimde doğrulaması gerektiğini savundu.

Revolut müşterileri ne yapmalı?

Veri ihlalinden doğrudan etkilenen müşterilerin Revolut tarafından bilgilendirildiği belirtiliyor. Bu nedenle kullanıcıların özellikle şüpheli e-posta, SMS, telefon araması veya kimlik doğrulama taleplerine karşı dikkatli olması gerekiyor.

Kimlik belgeleri, adres bilgileri ve finansal işlem geçmişleri gibi verilerin dolandırıcıların eline geçmesi, doğrudan Revolut hesabının ele geçirildiği anlamına gelmese de kimlik hırsızlığı ve hedefli dolandırıcılık girişimleri açısından risk oluşturabilir.

Bu nedenle Revolut'tan geliyormuş gibi görünen mesajlarda bağlantılara tıklamamak ve hesapla ilgili işlemleri resmi uygulama üzerinden kontrol etmek önemli.

İngiltere'de Revolut veri ihlali soruşturması

İngiltere'nin Information Commissioner's Office (ICO) kurumu, Revolut'un olayı kendisine bildirmesinin ardından soruşturma başlattı.

Soruşturmanın sonucunda olayın nasıl gerçekleştiği, hangi bilgilerin paylaşıldığı ve veri güvenliği açısından şirketin yükümlülüklerini yerine getirip getirmediği konusunda daha fazla ayrıntı ortaya çıkabilir. Şu aşamada soruşturmanın nihai sonucu bulunmuyor.