Revolut krijgt afpersingsdreiging na vrijgave klantdata

Revolut krijgt volgens The Register een afpersingsdreiging na het vrijgeven van klantdata; de aanvallers eisen 10.000 bitcoin en dreigen meer gegevens te publiceren.

Voor een Nederlandse organisatie verschuift het incident daarmee van een datalek naar een ketenprobleem: de beslissing om gegevens vrij te geven, de communicatie aan betrokkenen en de controle op leveranciers moeten aantoonbaar werken.

De buit wordt opnieuw ingezet

Revolut meldde eerder ongeveer 680 getroffen klanten, onder wie 36 Nederlanders. De nieuwe ontwikkeling is dat berichtgeving de buit nu koppelt aan verdere publicatie om betaling af te dwingen.

The Register zag in Telegram-berichten fragmenten die volgens de afzenders toebehoren aan bestuurders, sporters en artiesten. De groep dreigt elke dag meer gegevens te publiceren totdat Revolut betaalt. De eis bedraagt 10.000 bitcoin. Revolut bevestigde tegenover The Register niet dat het die losgeldeis heeft ontvangen.

PYMNTS meldt, onder verwijzing naar de nieuwe WSJ-reportage, dat de aanvaller al delen van gestolen klantdata vrijgaf en met meer publicatie dreigt. In die reportage vertelt een klant dat onder meer zijn woonadres, paspoortfoto en transactiehistorie bij een oplichter waren beland.

Wat Revolut bevestigt

De bank zegt dat het gebruikte adres is geblokkeerd, dat de betrokken overheidsinstantie en opsporings-, privacy- en financiële toezichthouders zijn gewaarschuwd en dat getroffen klanten rechtstreeks zijn benaderd. Revolut stelt ook dat zijn systemen en klantgelden niet zijn aangetast. Die respons en de mogelijke gegevenscategorieën, waaronder identiteitsdocumenten en volledige transactiehistorie, zijn door CoinDesk beschreven op basis van Revoluts klantmelding.

De losgeldeis is een claim van de afzenders, geen door Revolut bevestigd bedrag. Disruption Banking schrijft dat Revolut de eis niet heeft bevestigd en dat onafhankelijk bewijs ontbreekt dat de volledige dataset die online circuleert echt is. De fragmenten die The Register zag, bevestigen dat in elk geval enig materiaal is gepubliceerd, maar niet de volledige dataset. Hoeveel data nog volgt en hoeveel klanten daarin voorkomen, blijft open.

Autorisatie hoort bij beveiliging

De zwakke plek zat niet in een nieuwe inbraak in de bankomgeving, maar in de beslissing om een verzoek als bevoegd te behandelen. Een legitiem overheidsdomein kan laten zien waar een bericht technisch vandaan lijkt te komen. Het bewijst niet dat de afzender recht heeft op de gevraagde gegevens, of dat de volledige dataset nodig is.

Dat onderscheid raakt ook Nederlandse organisaties die klantdata via financiële platforms, identificatiediensten of andere leveranciers laten lopen. Een domeincontrole, een tweede bevestiging van de bevoegde partij en een vastgelegde beslissing over de minimale dataset horen bij dezelfde uitwisseling. De controle moet achteraf kunnen laten zien wie het verzoek beoordeelde, welke grondslag gold en welke informatie is vrijgegeven.

Het NCSC zet in zijn kader voor incidentrespons detectie en herstel naast notificatie, communicatie, rollen en afspraken met IT- en incidentresponsleveranciers. Die combinatie van technische respons, leveranciersafspraken en duidelijke communicatie bepaalt wat een organisatie kan uitleggen zodra de buit opnieuw opduikt.

Een datalek houdt niet op bij het blokkeren van een adres. Het eindigt pas wanneer een organisatie kan uitleggen welke gegevens zijn vrijgegeven, welke partijen handelen en hoe een volgend verzoek onafhankelijk wordt getoetst. Voor organisaties die data via partners laten lopen, is autorisatie daarmee net zozeer een beveiligingscontrole als toegangsbeheer.