Revolut potvrdio otkrivanje podataka kroz lažne zahteve
Revolut je potvrdio da je neovlašćenoj trećoj strani otkrio osetljive podatke ograničenog broja klijenata nakon što su stigli lažni zahtevi poslati sa imejl domena legitimne državne agencije. Kompanija nije objavila tačan broj pogođenih osoba niti naziv agencije čiji je domen iskorišćen.
U obaveštenju poslatom pogođenim klijentima navedeni su identifikacioni i kontakt podaci: datum rođenja, poštanska i imejl adresa, broj telefona, kao i kopije ličnih dokumenata, uključujući pasoše i vozačke dozvole. Moguće je da su obuhvaćeni i verifikacioni selfiji, izvodi sa računa i istorije transakcija.
Lažni zahtev sa legitimnog domena
Portparol Revoluta opisao je slučaj kao sofisticiranu eksternu prevaru predstavljanja. Neovlašćena strana je, prema navodima kompanije, upotrebila imejl domen stvarne državne agencije kako bi podnela lažne zahteve za informacijama.
Takav obrazac je posebno važan za timove koji obrađuju regulatorne, pravne i službene zahteve. Sama provera naziva domena ne potvrđuje da je konkretna poruka, kontakt ili zahtev autentičan, naročito kada se traže dokumenti visoke osetljivosti.
Revolut je saopštio da je blokirao korišćenu imejl adresu po otkrivanju prevare. Takođe je obavestio relevantnu državnu agenciju, organe za sprovođenje zakona i nadležne regulatore. Kompanija navodi da njeni sistemi i sredstva klijenata nisu pogođeni.
Poslovna pouka za obradu zahteva
Revolut posluje iz Londona, ima više od 80 miliona klijenata širom sveta i posluje kao banka u više od 30 zemalja. Širok obim poslovanja i vrste podataka kojima finansijske institucije raspolažu čine postupak odgovaranja na spoljne zahteve kritičnim bezbednosnim procesom.
Organizacije koje obrađuju lične, finansijske ili identifikacione podatke mogu da smanje rizik tako što će svaki neuobičajen zahtev potvrditi nezavisnim kanalom, ograničiti obim dostavljenih podataka i uključiti pravne i bezbednosne timove pre slanja dokumentacije. Posebno je važno evidentirati proveru ovlašćenja, jer legitimna tehnička adresa sama po sebi ne dokazuje legitimnost zahteva.
Praktičan zaključak je da se zahtevi koji izgledaju službeno moraju tretirati kao bezbednosni događaji dok se identitet podnosioca i pravni osnov ne potvrde kroz odvojenu, pouzdanu proceduru.