Dijital bankacılık sektörünün en büyük oyuncularından Revolut’un karşı karşıya kaldığı veri ihlali, klasik siber saldırılardan farklı yöntemi nedeniyle güvenlik dünyasında tartışma yarattı. Saldırganların Revolut’un ana sistemlerine girmediği, bunun yerine resmi bir devlet kurumuna ait gerçek e-posta alan adının sağladığı güveni kullanarak şirket çalışanlarını müşteri bilgilerini paylaşmaya ikna ettiği ortaya çıktı.
Financial Times’ın aktardığı bilgilere göre olaydan toplam 680 Revolut müşterisi etkilendi. İngiltere Bilgi Komiserliği Ofisi de olayla ilgili inceleme başlatırken Revolut, kendi sistemlerinin ihlal edilmediğini ve müşterilerin hesaplarındaki paraların saldırıdan etkilenmediğini açıkladı.
HACKERLAR REVOLUT’U HACKLEMEDEN VERİLERİ ALDI
Olayı sıra dışı hale getiren en önemli ayrıntı saldırganların Revolut’un bankacılık altyapısına doğrudan sızmak zorunda kalmaması oldu. Şirketin açıklamasına göre yetkisiz kişiler, gerçek bir devlet kurumuna ait alan adı üzerinden oluşturulan e-posta hesabını kullanarak müşteri bilgileri için sahte resmi talepler gönderdi.
Gönderilen mesajların gerçek bir devlet kurumunun alan adından gelmesi ve teknik alan adı doğrulamalarını geçmesi üzerine taleplerin gerçek olduğuna inanıldı. Revolut da yasal makamların bilgi talebini yerine getirdiğini düşünerek bazı müşterilerine ait verileri karşı tarafa iletti.
Şirket olayı “gelişmiş bir dış kimliğe bürünme dolandırıcılığı” olarak tanımladı. Dolayısıyla mevcut bilgiler, saldırganların Revolut’un veri tabanına girerek yüz binlerce hesabı ele geçirdiği klasik bir siber saldırıya değil, güvenilir bir resmi iletişim kanalının kötüye kullanılmasına işaret ediyor.
PASAPORTTAN SELFIE’YE, IBAN’DAN BITCOIN HAREKETLERİNE KADAR
İhlalin boyutunu ciddi hale getiren nokta ise saldırganların erişmiş olabileceği verilerin niteliği. Etkilenen müşterilere gönderilen bildirimlere göre isim, doğum tarihi, ev adresi, telefon numarası ve e-posta adresi gibi temel kişisel bilgilerin yanı sıra pasaport ve sürücü belgesi kopyaları da paylaşılmış olabilir.
Bununla birlikte müşterilerin kimlik doğrulaması sırasında kullandıkları selfie görüntüleri, banka hesap özetleri ve işlem geçmişlerinin de saldırganların eline geçmiş olabileceği bildirildi.
Bazı müşterilere gönderilen bildirimlerde IBAN bilgileri, para çekme kayıtları ve eksiksiz işlem geçmişinin de açığa çıkmış olabileceği belirtildi. Kripto para işlemleri gerçekleştiren bazı kullanıcılar açısından Bitcoin işlem geçmişinin de bu veri grubunun içerisinde bulunduğu bildiriliyor.
680 MÜŞTERİNİN VERİLERİ PAYLAŞILDI
Revolut başlangıçta olaydan yalnızca “çok sınırlı sayıda müşterinin” etkilendiğini açıklarken daha sonra 680 müşteriyle iletişime geçildiği ortaya çıktı. Şirket, etkilenen kişileri doğrudan bilgilendirerek hangi kişisel bilgilerinin risk altında olabileceğine ilişkin uyarılar gönderdi.
Revolut’un dünya genelinde 80 milyondan fazla müşterisinin bulunduğu düşünüldüğünde 680 kişilik sayı toplam kullanıcı tabanının oldukça küçük bir bölümünü oluşturuyor. Ancak ihlalin hassasiyeti etkilenen kişi sayısından çok açığa çıkan bilgilerin niteliğinden kaynaklanıyor.
27 TÜRK VATANDAŞININ DA ETKİLENDİĞİ İDDİA EDİLDİ
Siber saldırıyla ilgili yayılan bilgilere göre veri ihlalinden etkilenen kişiler arasında Türkiye vatandaşları da bulunuyor. Çeşitli kaynaklarda 27 Türk vatandaşına ait verilerin saldırganların eline geçtiği ileri sürüldü.
Ancak Revolut kamuoyuna yaptığı açıklamalarda etkilenen müşterilerin ülkelere göre dağılımını açıklamadı. Bu nedenle 27 Türk vatandaşına ilişkin sayı şirket tarafından doğrulanmış resmi veri olarak değil, saldırıyla bağlantılı kaynaklardan aktarılan bir iddia olarak değerlendiriliyor.
SALDIRGANLARDAN 10 BİN BITCOIN FİDYE İDDİASI
Olayın ortaya çıkmasının ardından saldırganların Revolut’tan fidye istediğine ilişkin yeni iddialar gündeme geldi. Saldırıyı gerçekleştirdiğini öne süren grubun 10 bin Bitcoin talep ettiği ve ödeme yapılmaması halinde ele geçirilen müşteri verilerini aşamalı olarak yayımlamakla tehdit ettiği bildirildi.
Söz konusu fidye talebinin büyüklüğü Bitcoin’in piyasa fiyatına bağlı olarak yüz milyonlarca dolara karşılık geliyor. Ancak Revolut şu ana kadar 10 bin Bitcoin tutarındaki fidye talebini doğrulamadı. Saldırganların ellerinde bulunduğunu ileri sürdüğü tüm veri setinin gerçekliği de bağımsız olarak teyit edilmiş değil.
“147 GB VERİ ELE GEÇİRDİK” İDDİASI
“IAmNotAVillain” adıyla hareket ettiği öne sürülen saldırgan veya saldırgan grubuyla ilişkilendirilen hesaplardan daha dikkat çekici iddialar da ortaya atıldı. Buna göre saldırganlar yalnızca Revolut müşterilerine ilişkin verilere ulaşmadı; İtalyan kolluk kuvvetleriyle bağlantılı bazı sistemleri de ele geçirerek bunları Revolut’a resmi talepler göndermek amacıyla kullandı.
Saldırganlar İtalyan tarafındaki sistemlerden yaklaşık 147 GB veri ele geçirdiklerini de ileri sürdü. Ancak gerek İtalyan kolluk sistemlerinin saldırının başlangıç noktası olduğu gerekse 147 GB büyüklüğündeki veri setinin ele geçirildiği yönündeki iddialar henüz resmi makamlar tarafından doğrulanmış değil.
Revolut da dolandırıcılıkta kullanılan devlet kurumunun hangi ülkeye veya hangi kuruma ait olduğunu kamuoyuna açıklamadı. Şirket yalnızca taleplerin meşru bir devlet kurumu alan adından gönderildiğini doğruladı.
REVOLUT: SİSTEMLERİMİZE SIZILMADI, PARALAR GÜVENDE
Revolut olayın tespit edilmesinin ardından sahte taleplerde kullanılan e-posta adresini sistemlerinde engellediğini açıkladı. Şirket ayrıca ilgili devlet kurumunu, kolluk kuvvetlerini, veri koruma otoritelerini ve finansal düzenleyicileri bilgilendirdi.
Revolut’un açıklamasında şirketin kendi sistemlerinin saldırganlar tarafından ele geçirilmediğinin altı çizildi. Müşteri hesaplarındaki fonların da olaydan etkilenmediği ve şirketin ek güvenlik tedbirlerini devreye aldığı belirtildi.
İNGİLTERE’DE SORUŞTURMA BAŞLATILDI
İngiltere’nin kişisel verilerin korunmasından sorumlu düzenleyici kurumu Information Commissioner’s Office, Revolut’taki veri ihlalini incelemeye aldı. Revolut’un da olayı düzenleyici kuruma bildirdiği ve soruşturmayla iş birliği yaptığı bildirildi.
İncelemenin en kritik noktalarından birini, resmi devlet kurumlarından gelen hassas müşteri verisi taleplerinin Revolut tarafından hangi doğrulama prosedürlerinden geçirildiği oluşturacak. Çünkü saldırganların bankanın teknolojik güvenlik duvarlarını aşmak yerine şirketin resmi taleplere yönelik güven mekanizmasını kullanması, finans sektöründeki veri paylaşım prosedürlerinin güvenliğine ilişkin daha geniş bir tartışma başlattı.
ASIL TEHLİKE ŞİMDİ BAŞLAYABİLİR
Saldırının doğrudan müşteri hesaplarındaki paraları etkilememiş olması riskin sona erdiği anlamına gelmiyor. Pasaport veya sürücü belgesi görüntüsü, kimlik doğrulama selfiesi, telefon numarası, adres ve finansal işlem geçmişinin aynı kişinin dosyasında bir araya gelmesi, saldırganların son derece inandırıcı dolandırıcılık girişimleri hazırlamasına imkan verebilir.
Örneğin saldırganların kişinin hangi hesapları kullandığını, geçmişte yaptığı para transferlerini veya kripto para hareketlerini bilmesi, daha sonra gerçekleştirilecek hedefli oltalama saldırılarının inandırıcılığını artırabilir. Kimlik belgelerinin açığa çıkması ise kimlik hırsızlığı ve sahte hesap açılması gibi daha uzun vadeli riskleri beraberinde getiriyor.
Bu nedenle Revolut’tan olayla ilgili bildirim alan müşterilerin hesap hareketlerini yakından takip etmesi, beklenmedik telefon ve e-postalara karşı özellikle dikkatli olması ve kendisini Revolut, polis veya başka bir resmi kurum olarak tanıtan kişilere doğrulama kodu ya da ek kişisel bilgi vermemesi önem taşıyor.
SİBER GÜVENLİKTE YENİ ZAYIF HALKA: “GERÇEK” E-POSTA ADRESİ
Revolut vakası finans sektöründe güvenliğin yalnızca güçlü şifreleme, çok faktörlü kimlik doğrulama veya saldırı tespit sistemleriyle sağlanamayacağını gösteren çarpıcı örneklerden biri haline geldi. Bu kez saldırganların hedefi bankanın teknik altyapısından çok, kurumların birbirlerine duyduğu güven oldu.
Bir devlet kurumuna ait gerçek alan adından gönderilen mesajın otomatik olarak güvenilir kabul edilmesi, saldırganların yüzlerce müşterinin son derece hassas bilgilerine ulaşmasının önünü açtı. Olay, bundan sonra bankaların kolluk kuvvetleri ve kamu kurumlarından gelen veri taleplerini yalnızca e-posta adresinin gerçekliğine bakarak değil, talebi bağımsız bir kanaldan ikinci kez doğrulayarak değerlendirmesi gerekip gerekmediği tartışmasını da beraberinde getirdi.
