Banken måste enligt lag svara på frågor från polisen. Även om det visar sig att polisen har hackats av bedragare. Det fick fintechjätten Revolut erfara i Italien.
I fem månader svarade banken på polisens frågor – polisen fanns inte
Revolut lämnade under fem månader ut känsliga kunduppgifter till vad banken trodde var italienska myndigheter. Men det var bedragare som tagit över en riktig myndighetsadress. Nu kräver angriparna tre miljoner dollar och hotar att sälja materialet vidare.
Det var inte nödvändigt för bedragarna att hacka Revoluts säkerhetssystem, de utnyttjade i stället bankens skyldighet att hantera legitima förfrågningar från myndigheter.
680 kunder
Angriparna hade fått kontroll över en officiell italiensk PEC-adress, ett system för certifierad e-post som används för juridisk och myndighetsrelaterad kommunikation. Adressen var kopplad till prefekturen i Reggio Calabria och låg på det italienska inrikesministeriets domän.
Därifrån skickades förfrågningar till Revolut som såg ut att komma från italiensk polis. Banken lämnade ut uppgifter om omkring 680 kunder innan bedrägeriet upptäcktes. Italienska myndigheter har senare uppgett att åtta av de berörda kunderna var italienare.
Uppgifterna kan ha omfattat namn, födelsedatum, adresser, telefonnummer och kopior av pass eller körkort. Även verifieringsbilder, kontoutdrag, IBAN-uppgifter och transaktionshistorik, inklusive bitcointransaktioner, kan ha lämnats ut.
Angriparna hade fått tillgång till en riktig PEC-brevlåda på en statlig domän. Därmed såg kommunikationen ut som en legitim myndighetsförfrågan från polisen. Vilket banken alltså har skyldighet att svara på.
Samma metod kan ha använts tidigare
Revolut betonar att bankens egna system och kundernas pengar inte har komprometterats.
Det italienska dataskyddsorganet Garante har nu gått vidare med en bredare granskning. Italienska banker har uppmanats att kontrollera sina system för att se om samma myndighetsadress kan ha använts för andra ovanliga förfrågningar. Myndigheten har också varnat för att metoden kan ha utnyttjats mot fler finansinstitut.
Nu har nästa fas inletts. Gruppen som kallar sig ”iamnotavillain” kräver omkring tre miljoner dollar, motsvarande 6 000 Monero, och har hotat att sälja den stulna informationen till andra kriminella grupper, enligt Financial Times som talat med hackaren. Uppgifter har också publicerats som påstås komma från drabbade kunder.
Italienska åklagare i Reggio Calabria utreder det ursprungliga intrånget mot myndighetskontot. Den italienska postpolisen och andra myndigheter är också involverade i utredningen. Det återstår bland annat att fastställa exakt hur kontot komprometterades och om fler företag kan ha utsatts med samma metod.
Läs mer: Hackergrupp kräver Revolut på lösensumma – hotar släppa kunddata varje dag
Läs mer: Revolut lämnade ut kunders pass och adresser till bedragare
