تعرضت Revolut لعملية احتيال معقدة، حيث تمكن المحتالون من خداع الشركة العملاقة في مجال التكنولوجيا المالية للحصول على بيانات العملاء بعد إرسال طلبات من عنوان بريد إلكتروني داخل نطاق وكالة حكومية شرعية. لم تكتشف الشركة الأمر في الوقت المناسب.
تم الكشف عن هذا الخرق من قبل المحقق على السلسلة ZachXBT، وليس من خلال أي إفصاح داخلي من Revolut نفسها. بمجرد أن أدركت الشركة ما حدث، قامت بحظر عنوان البريد الإلكتروني الاحتيالي وأفادت بأنها أبلغت السلطات والجهات التنظيمية ذات الصلة. كان متحدث باسم Revolut واضحًا إلى حد ما بأن الأنظمة لم يتم اختراقها ولم يتم المساس بأموال العملاء. ولكن هذا هو الحد الذي ينتهي فيه الوضوح. لم تذكر Revolut أي نطاق وكالة حكومية تم استغلاله. لم تذكر عدد العملاء الذين تعرضت بياناتهم. ولم تذكر ما إذا كانت قد غيرت أي شيء حول كيفية التحقق من طلبات البيانات الحكومية الواردة في المستقبل. هذه فجوات كبيرة.
لم يتم اختراق الأنظمة. ولكن بيانات العملاء ذهبت إلى مكان لا ينبغي أن تكون فيه.
لماذا تعتبر بيانات KYC هدفًا مغريًا
تجمع المؤسسات المالية الكثير من البيانات. تجمع Revolut، مثل كل شركات التكنولوجيا المالية المنظمة التي تعمل عبر عدة ولايات قضائية، وثائق الهوية وسجلات المعاملات والتفاصيل الشخصية لتلبية قواعد مكافحة غسيل الأموال. هذه البيانات لا تختفي بعد الإعداد — يتم الاحتفاظ بها لسنوات، وأحيانًا لعقد أو أكثر حسب الولاية القضائية. هذه هي الحقيقة التنظيمية. وهذا أيضًا ما يجعل هذه القواعد بيانات قيمة جدًا للمجرمين.
تقول سياسات الخصوصية العامة لـ Revolut إن الشركة تستخدم التخزين الآمن وتحد من وصول الموظفين. هذا هو الخط القياسي. لكن السياسات لا تتناول بالتفصيل كيفية التحقق فعليًا من طلبات الحكومة قبل الرد عليها. لا يوجد ذكر للتحقق متعدد الخطوات، ولا تفاصيل حول ما إذا كان يتم استخدام قناة ثانية لتأكيد أن الطلب حقيقي. هذه الفجوة ربما تكون مهمة جدًا هنا، لأن الاحتيال بأكمله اعتمد على تعامل Revolut مع عنوان بريد إلكتروني مزيف على أنه شرعي.
المحتالون الذين لديهم وصول إلى سجلات KYC يمكنهم إلحاق ضرر حقيقي. وثائق الهوية تفتح الباب للانتحال. تجعل سجلات المعاملات هجمات التصيد الاحتيالي أكثر دقة وإقناعًا — يمكن للمحتال الذي يعرف ما اشتريته ومتى وأين أن يصوغ رسالة لا تبدو كعملية احتيال على الإطلاق. هذه السجلات هي أساسًا مجموعة أدوات للاحتيال المستهدف.
مزاعم الابتزاز وما يبقى غير واضح
هناك أيضًا مزاعم متداولة حول مطالبات فدية والنشر المحتمل لملفات العملاء. لم تؤكد Revolut أيًا من ذلك. من غير الواضح ما إذا كانت هذه الادعاءات لها أي أساس، ويبدو أن الشركة تلتزم الصمت حول التفاصيل. ربما هناك تحقيق نشط. ربما لا يوجد شيء لتأكيده. لا توجد تفاصيل في هذا الصدد.
ما يستحق الإشارة إليه بشكل منفصل: كان هناك حادث سابق يتعلق بموظف سابق في Revolut. قالت Revolut نفسها إنه لا يوجد رابط مؤكد بين تلك الحالة وهذا الخرق. ربما يكون هذا هو القرار الصحيح للإشارة إليه، ولكنه يعني أيضًا أن حادثتين منفصلتين تتعلقان بالبيانات قد أثرتا الآن على الشركة في فترة زمنية قصيرة نسبيًا. سواء كان ذلك صدفة أو نمطًا، فهو نوع من الأمور التي يلاحظها المنظمون عادةً.
الهندسة الاجتماعية صعبة حقًا للدفاع ضدها عندما يستخدم الهجوم نطاقًا حقيقيًا. هذه هي الحقيقة غير المريحة هنا. المحتال الذي يحصل على وصول إلى — أو يمكنه تزوير — عنوان بريد إلكتروني داخل نطاق وكالة حكومية حقيقية لديه ميزة كبيرة. معظم إجراءات التحقق مبنية على الثقة في النطاقات المعروفة. إذا بدا النطاق صحيحًا، فإن العديد من الأنظمة والعديد من الأشخاص سيتبعون الطلب. ليست Revolut أول مؤسسة تقع في فخ شيء كهذا، ولن تكون الأخيرة.
لكن العواقب يمكن أن تكون خطيرة. الرقابة التنظيمية تميل إلى متابعة الخروقات مثل هذه، خاصة عندما لا تستطيع المؤسسة شرح بوضوح ما الذي حدث بشكل خاطئ أو ما الذي تفعله بشكل مختلف. ثقة العملاء تتآكل بسرعة عندما يشعر الناس أن وثائق هويتهم تطفو في مكان لا ينبغي أن تكون فيه. والضربة على السمعة تتضاعف عندما تبقى الشركة غامضة حول النطاق.
قاعدة مستخدمي Revolut ضخمة. تعمل الشركة في عشرات البلدان ولديها عشرات الملايين من العملاء. حتى نسبة صغيرة من الحسابات المتأثرة تترجم إلى عدد كبير مطلق من الأشخاص الذين قد يكونون الآن في خطر متزايد من الاحتيال في الهوية أو التصيد المستهدف.
تقول الشركة إنها آمنة. تقول إن الأموال آمنة. لكن سؤال التحقق — كيف بالضبط تؤكد Revolut أن طلب البيانات شرعي قبل أن تستجيب — لا يزال بلا إجابة علنية.
الأسئلة الشائعة
ما نوع البيانات التي تم كشفها في احتيال Revolut؟
حصل المحتالون على بيانات العملاء من خلال إرسال طلبات من عنوان بريد إلكتروني داخل نطاق وكالة حكومية شرعية، رغم أن Revolut لم تحدد بالضبط أي حقول بيانات تم الكشف عنها أو عدد العملاء المتأثرين.
هل أثر احتيال Revolut على أموال العملاء أو الأنظمة الداخلية؟
وفقًا لمتحدث باسم Revolut، لم يؤثر الاحتيال على أنظمة الشركة أو أموال العملاء — فقط بيانات العملاء تم كشفها من خلال الطلبات الاحتيالية.
