Moliyaviy xizmat Revolut mijozlarining shaxsiy ma'lumotlarini sharpyoqqa topshirdi, u davlat idorasining haqiqiy pochtali domenini soxta so'rovlar yuborish uchun ishlatdi.

So'rovlar kompaniyaning haqiqiylik tekshiruvidan o'tdi. Keyinroq ularning haqiqiy emasligini bilish mumkin bo'ldi.

Zoravon qoʻlida nima qoldi

Oshkor qilingan ma'lumotlar quyidagilarni o'z ichiga oldi:

  • pasport va haydovchilik guvohnomalarining nusxalari;
  • shaxsiy identifikatsiya uchun selfiler;
  • to'liq ism-sharif, tug'ilgan sana, kasbalar;
  • pochtali va elektron manzillar, telefonlar;
  • hisob vypiskalari, IBAN raqamlari va hamyonlar;
  • pul yechib olish bo'yicha yozuvlar;
  • to'liq tranzaksiya tarixi, shu jumladan bitkoin operatsiyalari.

Kompaniya tasdiqladi-ki, yuz biometrik ma'lumotlari zarar ko'rmadi, mijozlar shaxsi va sistemalar ta'sirlangan emas edi.

Sxema nega ishladi

Asosiy tafsilot: hujumchi infratuzilmani buzib ko'kmadi. U vakolatli bo'lmagan hisob-fakturani legitimiy domenida davlat idorasida ishlatdi.

So'rovni qayta ishlayotgan xodim uchun xat haqiqiy ko'rinardi — yuboruvchining manzili haqiqatan ham haqiqiy tashkilotga tegishli edi. Standart domen tekshiruvi bunday soxtalikni aniqlamaydi.

Maqsad moyali mijozlar edi

Kompaniya zarar ko'rganlar bilan bevosita muloqot qildi, lekin ularning sonini, davlatini yoki qaysi idora soxtalanganligini ochib bermadi.

Mt. Gox sobiq rahbari Mark Karpeles ta'sirlanganlarga kirganini bildirdi. Onchejn-tadqiqotchi ZachXBT shuni ta'kidladi-ki, hujum, ko'rinishiga ko'ra, moyali foydalanuvchilarga yo'naltirilgan edi.

Bu holat, kriptoaktivlar terislari orasida tanilgan shaxslar uchun jismoniy hujumlar tez-tez bo'lib turayotgan arafon sharoitida ayniqsa xavfli.

Identifikatsiya protseduralaridagi munozara

Voqea mijozlarni identifikatsiya qilish bo'yicha majburiy talablarning tanqidiga to'lqin keltirib chiqdi. Foydalanuvchilar shaxsiy ma'lumotlar to'plashning mumkin bo'lgan xavfini, lekin mos keladigan himayani bermay turganini ko'rsatdilar.

Bu dalil amaliy asos bor: xizmat qancha ko'p hujjat saqlasa, uning ma'lumot bazasi zoravonlar uchun o'sha qadar qimmatbaho bo'ladi.

Yagona voqea emas

Oshkor bo'lish shunga o'xshash voqealar ketma-ketligi sharoitida sodir bo'ldi:

  • apparat hamyonlarining ishlab chiqaruvchisi Trezor logistika sherigi oraligida oshkor bo'lish haqida xabar berdi, u AQSHda 67 ming mijozga ta'sir ko'rsatdi;
  • xuddi shu kompaniya zoravonlarning uning legitimiy domenidan fishing xatlarini targ'ib qilganligini oshkor qildi, uchinchi tomonning pochtali provayderiga kirdi;
  • hamyon SafePal buyurtmalarni kuzatish tizimidagi zaʻiflikdan xabar berdi, u taxminan 39 798 mijozning ma'lumotlarini oshkor qildi.

Bundan nima kelib chiqadi

Umumiy qonun-qoidat ravshan: hujumlar asosiy infratuzilmaga emas, balki ishonchli kanallar orqali — davlat idoralarining domenlariga, pochtali provayderlariga, logistika sheriklaririga yo'naltiriladi.

Foydalanuvchi uchun amaliy xulosа: to'gʻri manzildan haqiqiy tashkilotning xati haqiqiylikni kafolatlaydi emas. Shaxsiy ma'lumotlar uchun istalgan so'rovda ma'lumotni mustaqil topilgan rasmiy aloqalar orqali qayta tekshirish kerak.

Oshkor bo'lish kompaniya AQShda milliy bank litsenziyasiga erishmog'i va ochiq joylashtirish imkoniyatini ko'rib chiqayotgan paytida sodir bo'ldi. Xizmat butun dunyo bo'ylab 80 million mijozga xizmat ko'rsatadi.