Een gecertificeerd e-mailadres, zes maanden eerder gestolen, was voldoende om een digitale bank ter waarde van miljarden ervan te overtuigen de paspoorten, woonadressen en bankbewegingen van honderden mensen te overhandigen. Dit is wat er gebeurde met Revolut, het Engelse bedrijf dat in de loop der jaren een concurrent is geworden van de grote traditionele Europese banken, dat werd misleid door een groep cybercriminelen en uiteindelijk de gegevens van bijna 700 klanten aan hen doorgaf.
Het bedrog van de politie-e-mail
De aanval hoefde de IT-systemen van Revolut niet te schenden, omdat de makers zich, althans volgens wat de daders zelf aan de website van International CyberDigest vertelden, alleen hoefden te presenteren met een officieel gecertificeerd e-mailadres van de Italiaanse politie, dat eerder was gecompromitteerd. Met dat account stuurden ze een verzoek naar het Litouwse hoofdkwartier van Revolut, dat leek voort te komen uit een onderzoek van het Openbaar Ministerie in Milaan, waarin ze om informatie vroegen over een groot aantal klanten. Het domein was authentiek, het verzoek formeel gemotiveerd: Revolut, geconfronteerd met zo’n grote hoeveelheid gegevens, zou de redenen voor het verzoek niet hebben onderzocht of rechtstreeks contact hebben opgenomen met de politie voor een tegenverificatie. Hij antwoordde eenvoudig en stuurde alles.
De versie van Revolut
Revolut noemde de gebeurtenis een “verfijnde oplichting” en zei dat het onmiddellijk de betrokken klanten, de wetshandhavingsautoriteiten, gegevensbeschermingsautoriteiten en financiële waakhonden op de hoogte bracht. Het bedrijf beweert dat er geen sprake is geweest van directe schendingen van zijn systemen en dat er geen enkele euro van zijn rekeningen is verdwenen. Feit blijft dat de gegevens inderdaad naar buiten zijn gekomen: onder de informatie die in handen van hackers terechtkwam, behoren naam, geboortedatum, beroep, adres, contacten, kopie van paspoort of rijbewijs en de afbeelding van het gezicht die is verzameld bij het openen van de rekening. Revolut verduidelijkte dat er geen daadwerkelijke biometrische gegevens bij betrokken zouden zijn.
Wie zijn de betrokken klanten?
De groep die de verantwoordelijkheid voor de aanval opeist noemt zichzelf IAmNotAVillain en heeft een site geopend om het gestolen materiaal bekend te maken en enkele fragmenten op Telegram te verspreiden. Volgens wat de hackers zelf aan International Cyber Digest verklaarden, was het merendeel van de betrokken klanten Zwitsers en Frans, maar in de gegevens zijn ook inwoners van zo’n dertig andere landen opgenomen, van Italië tot het Verenigd Koninkrijk. Tot de namen die naar voren zijn gekomen behoren onder meer Barcelona-voetballer Georges Mikautadze, de Kazachse tennisser Alexandr Shevchenko en, volgens de Financial Times, voormalig CEO van Mount Gox, Mark Karpelès. Het aantal getroffen mensen, 680 volgens bronnen verzameld door enkele gespecialiseerde kranten, is niet bevestigd door Revolut. De hackers eisen ondertussen een losgeld van 10.000 bitcoins, ongeveer 673 miljoen euro tegen de huidige wisselkoers.
De claim: zes maanden toegang en 147 gigabyte gestolen
De hackers beweren de operatie zes maanden geleden te zijn begonnen, waarbij ze een account met het domein @pec.interno.it van de Italiaanse politie, waarschijnlijk de politie, in gevaar hebben gebracht. Van daaruit zouden ze 147 gigabyte aan materiaal hebben gestolen, waaronder interne documenten, dagboeken en persoonlijke gegevens van werknemers. Om dit te demonstreren hebben ze enkele screenshots van de e-mailheaders vrijgegeven, opnieuw gerapporteerd door International CyberDigest.
@International CyberDigest /
Noch het ministerie van Binnenlandse Zaken, noch de National Cybersecurity Agency hebben hierover verklaringen vrijgegeven.
Het juridische instrument dat wordt gebruikt als een Trojaans paard
Het gebruikte mechanisme heeft een technische naam, Europees Onderzoeksbevel, en is het instrument waarin een Europese richtlijn uit 2014 voorziet die banken verplicht gegevens te verstrekken aan wetshandhavingsinstanties en overheidsinstanties van andere lidstaten. Juist het automatisme van die verplichting, bedoeld om de justitiële samenwerking tussen EU-landen te bespoedigen, werd de fout die de diefstal mogelijk maakte.
