Ko Revolut duomenų nutekėjimas išmokė mus ir sukčius

SPF - praėjo. DKIM - praėjo. DMARC - praėjo, bet klientų pasai vis tiek iškeliavo pas nusikaltėlius.

Įsivaizduokite: jūsų atitikties komanda gauna užklausą iš valstybės institucijos. Domenas tikras. Visi el. pašto autentifikacijos patikrinimai žali. Tonas oficialus, prašymas skubus, formuluotės teisinės. Kiekvieną savaitę tokių užklausų gaunate dešimtis, ir įstatymas reikalauja į jas atsakyti.

Jūs atsakote. Ir būtent tą akimirką tampate duomenų nutekėjimo šaltiniu – be jokio įsilaužimo, be kenkėjiškos programos, be nė vienos pažeistos serverio eilutės.

Būtent taip, pagal viešai paskelbtą informaciją, 2026 m. rugsėjį nutiko „Revolut".

Kas įvyko

2026 m. rugsėjo 11 d. „Revolut" klientų gavo pranešimą: bendrovė gavo informacijos užklausą, kuri atrodė kaip teisėtas valstybės institucijos prašymas, ir ją įvykdė. Vėliau paaiškėjo, kad užklausą siuntė neautorizuota pašto dėžutė, sukurta tikroje valstybės institucijos domeno infrastruktūroje, todėl laiškas turėjo galiojančius domeno autentifikacijos požymius.

Kai „Revolut" kreipėsi į instituciją patikrinti užklausos, būtent tada paaiškėjo, kad toje institucijoje egzistuoja neautorizuota paskyra. Bendrovė užblokavo adresą, informavo reguliuotojus bei teisėsaugą ir pritaikė papildomas apsaugos priemones paveiktiems klientams. Bendrovės atstovas žiniasklaidai patvirtino, kad paveiktas „ribotas" klientų skaičius, o sistemos ir klientų lėšos nenukentėjo.

Kokie duomenys galėjo būti atskleisti

Pagal klientams išsiųstą pranešimą:

• Tapatybės duomenys: vardas, pavardė, gimimo data, profesija.
• Kontaktai: adresas, el. paštas, telefono numeris.
• Asmens dokumento kopija (pasas ar vairuotojo pažymėjimas) ir registracijos metu pateiktas veido nuotraukos (selfie) vaizdas.
• Finansiniai duomenys: sąskaitų išrašai su IBAN, sąskaitos atidarymo data, išgryninimų įrašai ir visa operacijų istorija, įskaitant „Bitcoin" operacijas.

Kodėl tai suveikė?

Čia nėra jokios magijos. Yra trys psichologiniai ir procesiniai svertai, kuriuos užpuolikai naudoja jau dešimtmečius.

Autoriteto šališkumas.
Žmonės (ir procesai, kuriuos žmonės sukūrė) linkę paklusti valdžiai. Užklausa „iš institucijos" automatiškai gauna mažiau klausimų nei užklausa „iš nepažįstamojo".

Patikimas kanalas.
Užpuolikui nereikėjo klastoti domeno. Jis naudojosi tikru domenu. Todėl visi techniniai filtrai, sukurti aptikti apsimetinėjimą, matė būtent tai, ką turėjo matyti: teisėtą infrastruktūrą.

Procesas, kuris pasitiki kanalu, o ne žmogumi.
Taikinys buvo ne „Revolut" kodas, o jo darbo eiga. Kai procesas sako „jei laiškas iš oficialaus domeno – vykdyk", užtenka užvaldyti ar susikurti vieną pašto dėžutę tame domene.

SPF, DKIM ir DMARC yra kaip apsaugos darbuotojas, kuris patikrina, ar kurjeris dėvi tikrą įmonės uniformą. Uniforma tikra – jis praleidžia. Bet darbuotojas netikrina, ar uniformą dėvintis žmogus iš tikrųjų dirba toje įmonėje ir ar jam leista paimti siuntinį. El. pašto autentifikacija patvirtina, iš kur laiškas atkeliavo. Ji nepatvirtina, kas jį parašė ir ar jis turi teisę to prašyti.

Ne naujiena – tik naujas sektorius

Netikros teisėsaugos užklausos nėra naujiena. 2022 m. buvo plačiai rašoma apie atvejus, kai nusikaltėliai per užvaldytas policijos pašto dėžutes siuntė vadinamąsias skubias duomenų užklausas (Emergency Data Requests) didžiosioms technologijų bendrovėms. 2024 m. pabaigoje JAV FTB viešai įspėjo, kad ši schema aktyviai naudojama. „Revolut" atvejis rodo, kad ta pati taktika pasiekė ir finansų sektorių.

Ne įprastas nutekėjimas – visas tapatybės vagystės rinkinys

Įprastas nutekėjimas – tai el. paštas ir slaptažodžio maiša. Čia – kitaip:

• Paso kopija + selfie – būtent tai, ko prašo daugelis paslaugų, kai tikrina tapatybę ar atkuria paskyrą.
• IBAN + operacijų istorija – leidžia sukurti itin įtikinamą sukčiavimo skambutį („Matome jūsų vakarykštį pervedimą...").
• Bitcoin istorija + vardas + adresas – leidžia blockchain analizę pradėti nuo konkretaus žmogaus, o ne nuo anoniminės adresų grupės. Kriptovaliutų savininkams tai reiškia ne tik skaitmeninę, bet ir fizinę riziką, nes tampa žinoma, kas turi turto ir kur gyvena.

Taikinių parinkimas – pagal viešai cituojamus tyrėjų pastebėjimus, užklausos galėjo būti nukreiptos į turtingesnius klientus. Tai rodo ne atsitiktinį, o tikslinį žvalgybos darbą.

Kontrolinis sąrašas organizacijoms

Jei jūsų organizacija gauna teisėsaugos ar valstybės institucijų užklausas (bankai, fintech, telekomunikacijos, SaaS, sveikatos priežiūra), štai kontrolinis sąrašas.

1. Patikrinimas kitu kanalu. Kiekvieną užklausą, kurioje prašoma asmens duomenų, patvirtinkite paskambinę per kelis kanalus – kol kas tai vienintelis būdas turėti whitelistintus telefono numerius, kuriais galima skambinti.
2. Dedikuotas užklausų kanalas. Vietoj atviro el. pašto naudokite portalą, kuriame institucijų atstovai turi iš anksto patikrintas paskyras su daugiafaktoriu autentifikavimu. El. paštas tebūna tik pranešimų kanalas.
3. Keturių akių principas. Jokia užklausa, susijusi su dokumentų kopijomis ar pilna finansine istorija, neturėtų būti įvykdyta vieno žmogaus sprendimu.
4. Duomenų minimizavimas. Pateikite tik tai, ko reikalauja konkretus teisinis pagrindas. Ar tyrimui tikrai reikia selfie nuotraukos ir visos operacijų istorijos nuo sąskaitos atidarymo?
5. Raudonos vėliavos. Mokykite komandą atpažinti signalus:
   • neįprastas skubumas ar spaudimas;
   • naujas, anksčiau nematytas siuntėjas institucijoje;
   • užklausa dėl kelių nesusijusių klientų vienu metu;
   • klientų profilis, kuris atrodo „atrinktas" (pvz., didelės vertės sąskaitos);
   • teisinio pagrindo nuoroda, kurios negalima patikrinti.
6. Dalijimasis informacija. Aptikę netikrą užklausą, pasidalinkite kompromitacijos požymiais (siuntėjo adresu, formuluotėmis) su sektoriaus partneriais, kad kiti galėtų patikrinti savo žurnalus.

Įtraukite „netikros valdžios užklausos" scenarijų į savo socialinės inžinerijos simuliacijas.

Ką daryti valstybės institucijoms

• Stebėkite naujų pašto dėžučių kūrimą ir teisių suteikimą, ypač paskyroms, kurios gali siųsti laiškus išorės organizacijoms.
• Privalomai taikykite daugiafaktorį autentifikavimą visoms paskyroms, o labai jautrioms – FIDO2 raktus.
• Reguliariai auditkite neaktyvias ir netipines paskyras.
• Paskelbkite viešą, patikrinamą kontaktą, per kurį organizacijos galėtų patvirtinti jūsų užklausas – ir tai turėtų būti iš anksto sutarta tarp dviejų šalių.

Ką daryti žmonėms

• Bendraukite tik per oficialią programėlę. Neatsakinėkite į laiškus, SMS ar skambučius, kurie remiasi šiuo incidentu.
• Būkite ypač budrūs, jei skambinantysis „per daug žino". Jūsų IBAN ir operacijų istorija dabar gali būti sukčių rankose – tai nebėra tapatybės įrodymas.
• Niekam nesiųskite papildomų dokumentų ar selfie, net jei prašoma „patvirtinti tapatybę po incidento".
• Kriptovaliutų turėtojams: neviešinkite savo turto, peržiūrėkite savo fizinio saugumo įpročius ir, jei dar to nepadarėte, laikykite didesnes sumas savo valdomoje piniginėje.
• Apsvarstykite asmens dokumento pakeitimą, jei jūsų šalyje tai įmanoma, ir pasiteiraukite, ar galima įjungti kredito informacijos stebėseną.

Išvada

Šis incidentas turi vieną nepatogią pamoką: galite turėti tobulą techninę apsaugą ir vis tiek pralaimėti procese. „Zero Trust" nėra tik tinklo architektūra – tai principas, kuris turi galioti ir el. laiškui iš ministerijos, ir skambučiui iš „policijos", ir prašymui iš „vadovo".

Jei norite patikrinti, ar jūsų organizacija atlaikytų panašų scenarijų – socialinės inžinerijos simuliacijos, kibernetinio saugumo mokymai ir visos paslaugos. Susiję straipsniai: „Likely-SCAM": SMS siuntėjų registras ir kodėl slaptažodžio ir MFA jau nebeužtenka.