Britanska finansijska firma Revolut potvrdila je da je predala lične podatke svojih klijenata nepoznatom trećem licu - zato što je zahtev došao sa prave adrese prave državne institucije. Nije probijena baza, nije razbijen sistem. Neko je pisao sa domena u koji svi veruju, i Revolut je odgovorio.

Spisak predatog je dug. Datum rođenja, adresa stanovanja, elektronska pošta, broj telefona, plus kopije ličnih dokumenata - pasoši i vozačke dozvole. Prema obaveštenju koje je firma poslala pogođenim klijentima, u paket su možda ušle i selfi-snimke za verifikaciju, izvodi sa računa i istorija transakcija. Drugim rečima: sve što vam treba da se predstavite kao neko drugi pred bankom.

Portparol Revoluta opisao je slučaj kao „sofisticiranu spoljnu prevaru sa lažnim predstavljanjem, u kojoj je neovlašćeno treće lice koristilo legitiman domen državne agencije da podnese lažne zahteve za informacije”. Broj pogođenih? „Ograničen” - i nijedan konkretan broj. Ni koje je tržište zahvaćeno, ni koja je državna agencija iskorišćena. Samo uveravanje da su sistemi i novac klijenata netaknuti, što je tačno i istovremeno pored poente: niko ne krade novac odmah kad dobije dokumente.

Ko je bio na spisku

Kripto-istraživač poznat kao ZachXBT prvi je objavio sadržaj poruke klijentima i rekao da napad izgleda usmeren ka korisnicima sa visokim stanjem. To nije slučajna ribarska mreža - to je izbor. Kad neko unapred zna čije dokumente traži, pitanje više nije samo kako je ušao, nego odakle je znao koga da traži.

Revolut kaže da je blokirao adresu čim je otkrio prevaru i da je obavestio agenciju, policiju i regulatore. Firma ima više od 80 miliona korisnika u svetu i posluje kao banka u preko 30 država, a poslednjih meseci dobila je bankarske licence u Francuskoj i Britaniji i uslovno odobrenje američkog regulatora za nacionalnu banku, koju planira za prvu polovinu 2027. godine. Istovremeno se priprema izlazak na berzu pri procenjenoj vrednosti do 200 milijardi dolara - skoro tri puta više od 75 milijardi iz novembra.

Slaba tačka nije tehnološka

Tu je ono što vredi zapamtiti. Nijedna lozinka nije pala, nijedan server nije osvojen. Pala je pretpostavka da je zahtev sa državnog domena automatski pravi zahtev - procedura, ne softver. Banke u regionu rade po istoj logici: dolazi dopis sa zaglavljem, odgovara se. Koliko bi ih prepoznalo da je adresa prava, a čovek iza nje nije?

Inženjer koji je izgradio zaštitu može da bude savršen, a podaci ipak izađu kroz službenu poštu zato što je neko pročitao domen i prestao da proverava. To se ne popravlja sa još jednim slojem šifrovanja.