Avrupa’nın en büyük dijital bankalarından Revolut, kapsamlı bir veri sızıntısı skandalıyla karşı karşıya. Şirket, 12 Eylül’de yaptığı açıklamada hackerların gerçek bir devlet kurumunun e-posta alan adını kullanarak gönderdiği sahte “resmi bilgi talebi”ne kanıp müşteri verilerini teslim ettiğini doğruladı. Olay, kısa sürede bir fidye kriziyle şirketin gündemine oturdu.
Sahte Devlet Kurumu Talebi Nasıl İşe Yaradı?
Revolut’un açıklamasına göre saldırganlar, gerçek bir devlet kurumunun kendi alan adından gönderilmiş, teknik doğrulama kontrollerini (SPF/DKIM) geçen bir e-posta üzerinden sahte bir bilgi talebi ilettiler. Banka çalışanları bu talebi rutin bir yasal bildirim sanarak istenen müşteri verilerini teslim etti. Revolut, olayı “sofistike bir dış kimlik taklidi dolandırıcılığı” olarak nitelendirdi ve tespit edilir edilmez ilgili e-posta adresini engellediğini, konuyu ilgili devlet kurumuna, kolluk kuvvetlerine, veri koruma otoritelerine ve finansal düzenleyicilere bildirdiğini açıkladı.
Hangi Veriler Sızdı?
Sızan veriler arasında müşterilerin doğum tarihi, posta ve e-posta adresleri, telefon numaraları, pasaport ve ehliyet kopyaları, kimlik doğrulama selfie’leri, IBAN bilgileri, hesap özetleri ve Bitcoin işlemleri dahil tüm işlem geçmişi yer alıyor. Revolut, sızıntının şirketin çekirdek sistemlerini ve müşteri fonlarını etkilemediğini, şifre veya giriş bilgilerinin ele geçirilmediğini vurguladı. Şirket, olaydan etkilenen müşteri sayısının sınırlı olduğunu belirtirken, bazı haberlerde bu rakamın yaklaşık 680 müşteri olduğu aktarılıyor. Kripto güvenlik araştırmacısı ZachXBT, saldırının özellikle yüksek net değere sahip müşterileri hedef aldığını değerlendirdi.
Hackerlar 10 Bin Bitcoin Fidye İstiyor
“IAmNotAVillain” rumuzunu kullanan saldırganlar, Telegram üzerinden ele geçirdikleri verileri paylaşmaya başladı ve Revolut ödeme yapana kadar her gün daha fazla veri yayınlayacaklarını duyurdu. Saldırganların talep ettiği fidye tutarı 10 bin Bitcoin, yani güncel kurla yaklaşık 780 milyon dolar (yaklaşık 673 milyon euro) seviyesinde. Şimdiye kadar tenisçi Alexander Shevchenko, kripto kumar platformu Gamdom’un CEO’su Felix Römer, eski Mt. Gox CEO’su Mark Karpelès ve futbolcu Georges Mikautadze gibi tanınmış isimlerin verilerinin sızdırıldığı iddia edildi; ancak Revolut bu isimlerin gerçekten etkilenip etkilenmediğini doğrulamadı.
İtalyan Polis Sistemleri İddiası Doğrulanmadı
Saldırganların iddiasına göre operasyon yaklaşık altı ay sürdü ve sahte talepler, ele geçirildiği öne sürülen İtalyan resmi yazışma sistemleri (PEC) üzerinden gönderildi. Bu iddia doğrulanırsa olayın boyutu Revolut’un çok ötesine geçerek İtalya’nın resmi iletişim altyapısını da kapsayabilir. Ancak ne Revolut ne de İtalyan yetkilileri bu iddiayı şu ana kadar doğruladı ya da yalanladı; konunun İtalyan makamlarınca araştırıldığı bildiriliyor.
Türkiye Dahil 31 Ülkeden Müşteriler Etkilenmiş Olabilir
Saldırganlar, verilerini ele geçirdiklerini iddia ettikleri müşterilerin yaşadığı ülkelerin bir listesini de paylaştı; bu 31 ülkelik listede Türkiye de yer alıyor. Revolut, dünya genelinde 80 milyonu aşkın müşteriye ve 30’dan fazla ülkede bankacılık faaliyetine sahip. Şirketin İngiltere’deki veri koruma otoritesi ICO, olayla ilgili resmi bir soruşturma başlattı. Skandalın, Revolut’un değerlemesini 200 milyar dolara çıkarması beklenen halka arz planları üzerinde de baskı oluşturabileceği değerlendiriliyor.
Revolut Müşterileri Ne Yapmalı?
Güvenlik uzmanları, Revolut hesabı bulunan kullanıcıların bankadan gelecek resmi bildirim e-postalarını dikkatle takip etmesini öneriyor. Pasaport ve kimlik doğrulama selfie’si gibi belgelerin sızması, kötü niyetli kişilerin bu kimlik bilgileriyle başka kurumlardan kredi çekmeye kalkışması riskini artırıyor. Uzmanlar ayrıca kripto varlık sahibi olduğu bilinen kişilerin, bu tür veri sızıntılarının ardından fiziksel tehdit içeren “anahtar (wrench) saldırıları” riskiyle de karşı karşıya kalabileceği konusunda uyarıyor. Şüpheli bir e-posta veya mesaj alan müşterilerin doğrudan Revolut’un resmi kanalları üzerinden doğrulama yapması ve hesap hareketlerini yakından takip etmesi tavsiye ediliyor.
