Hackers die verantwoordelijkheid opeisen voor de recente blootstelling van Revolut-klantinformatie hebben het incident geëscaleerd met een publieke losgeldeis van 3 miljoen dollar.
De groep, die zichzelf “iamnotavillain” noemde, stelde een ultimatum waarin 6.000 Monero werd geëist, destijds ongeveer 3 miljoen dollar waard. De aanvallers gaven Revolut 24 uur om te betalen en dreigden de klantinformatie aan andere criminele groepen te verkopen als het bedrijf weigerde.
Ondanks de publieke dreiging zegt Revolut dat het geen losgeldeis rechtstreeks van de groep heeft ontvangen en geen contact heeft gehad met degenen die de claims doen.
De afpersingspoging volgt op het onthullen van een beveiligingsincident waarbij een ongeautoriseerde partij gevoelige informatie verkregen die toebehoorde aan honderden Revolut-klanten.
In plaats van direct in te breken in de bankinfrastructuur van Revolut, gebruikten de aanvallers frauduleuze informatieverzoeken die leken te komen van een legitiem e-maildomein van een overheidsinstantie. Revolut reageerde op die verzoeken en maakte klantinformatie bekend voordat het misleiding werd ontdekt.
Ongeveer 680 klanten zouden zijn getroffen. De informatie die in het incident werd blootgelegd, omvatte identiteit en contactgegevens. Meldingen naar getroffen klanten toonden aan dat de gecompromitteerde informatie geboortedata, post- en e-mailadressen, telefoonnummers en kopieën van identiteitsdocumenten zoals paspoorten en rijbewijzen kon omvatten.
Afhankelijk van de klant kunnen ook verificatieselfies, rekeningafschriften en transactiegeschiedenissen zijn blootgelegd. De aanvallers beweren dat ze de informatie verkregen nadat ze toegang kregen tot een Italiaans overheidscommunicatiesysteem en het gebruikten om zich voor te doen als wetshandhavers. Ze hebben ook beweerd dat klanten met aanzienlijke cryptobezittingen opzettelijk werden aangevallen.
Die details zijn deels gebaseerd op het eigen verslag van de aanvallers over de operatie en zijn niet allemaal onafhankelijk bevestigd. De groep heeft geprobeerd het bezit van de informatie aan te tonen door materiaal te delen dat blijkbaar klantgegevens bevat. Er wordt ook een korte schermopname geleverd waarop iemand een verzameling documenten doorbladert.
De vraag van 3 miljoen dollar wordt gedaan in Monero, een cryptomunt die is ontworpen om meer transactieprivacy te bieden dan veel andere digitale valuta.
Het publieke karakter van het ultimatum is opmerkelijk omdat cyberafpersingsgroepen vaak proberen privé met slachtoffers te onderhandelen voordat ze bedreigingen of gestolen informatie publiceren. In dit geval zegt Revolut dat zo’n onderhandeling niet heeft plaatsgevonden.
Italiaanse autoriteiten onderzoeken hoe een officieel overheidscommunicatiekanaal naar verluidt is misbruikt en of het onderliggende e-mailaccount of bijbehorende systemen zijn gecompromitteerd.