Revolut ने आपका पासपोर्ट जालसाजों को दिया — बिना किसी हैक के

Revolut हैक नहीं हुआ। किसी ने इसकी फ़ायरवॉल नहीं तोड़ी या इसके कोड में कोई कमज़ोरी नहीं ढूँढी। इसके बजाय, एक हमलावर ने एक वैध सरकारी डोमेन वाले ईमेल पते का उपयोग करके सरकारी प्राधिकरण का रूप धारण किया, एक डेटा डिस्क्लोज़र अनुरोध प्रस्तुत किया जिसे Revolut की सत्यापन जाँचों ने वास्तविक मान लिया, और प्रभावित उपयोगकर्ताओं के पूर्ण पहचान दस्तावेज़, पासपोर्ट कॉपी, ऑनबोर्डिंग सेल्फ़ी, और पूर्ण खाता इतिहास — जिसमें हर बिटकॉइन लेन-देन का रिकॉर्ड शामिल है — लेकर चला गया।

हमले ने एक कानूनी दायित्व का शोषण किया, न कि किसी सॉफ़्टवेयर दोष का। वित्तीय प्लेटफ़ॉर्म कानूनन सरकारी निकायों और कानून प्रवर्तन से आधिकारिक डेटा अनुरोधों का जवाब देने के लिए बाध्य हैं। उन अनुरोधों को Revolut की समीक्षा को पार करने के लिए पर्याप्त रूप से ठोस बनाकर, हमलावर ने जनता की सुरक्षा के लिए बनाई गई एक अनुपालन प्रक्रिया को डेटा चोरी के तंत्र में बदल दिया। Revolut ने कहा कि उसने स्वतंत्र रूप से संबंधित प्राधिकरण से अनुरोध को मान्य करने का प्रयास किया, लेकिन डेटा साझा किए जाने के बाद ही प्रतिरूपण का पता चला।

जिस किसी का खाता इसमें शामिल था, उनके लिए यह एक्सपोज़र एक सामान्य उल्लंघन से कहीं अधिक गहरा है। चुराए गए डेटा में पूर्ण सत्यापित पहचान — कानूनी नाम, जन्म तिथि, घर का पता, पासपोर्ट या ड्राइविंग लाइसेंस की प्रतियाँ, और खाता सत्यापन के दौरान जमा की गई सेल्फ़ी — बिटकॉइन वॉलेट संदर्भों और पूर्ण ऑन-चेन लेन-देन रिकॉर्ड से जुड़ी हुई हैं। यह संयोजन समाप्त नहीं होता। भले ही प्रभावित उपयोगकर्ता नए वॉलेट खोल लें, लीक हुए डेटा वाला कोई भी व्यक्ति उनके पिछले सिक्का आंदोलनों को एक पुष्ट वास्तविक दुनिया की पहचान से स्थायी रूप से जोड़ सकता है।

Revolut ने कहा कि इसमें कोई बायोमेट्रिक चेहरे की टेलीमेट्री शामिल नहीं थी — सिस्टम-व्युत्पन्न टेम्पलेट जो स्वचालित चेहरे-मिलान के लिए उपयोग होते हैं — केवल ऑनबोर्डिंग के दौरान ली गई कच्ची तस्वीर। ग्राहकों के फंड प्रभावित नहीं हुए। कंपनी ने धोखाधड़ी वाले ईमेल पते को ब्लॉक किया, जिस सरकारी प्राधिकरण की पहचान कॉपी की गई थी, उसे सूचित किया, कानून प्रवर्तन को अलर्ट किया, और आवश्यक नियामक प्रकटीकरण दाखिल किए। यूरोपीय डेटा संरक्षण नियामक उस प्रतिक्रिया को पर्याप्त मानते हैं या नहीं, यह एक खुला प्रश्न है: GDPR उस तरह के पहचान दस्तावेज़ों को संभालने और संरक्षित करने के तरीके पर सख्त दायित्व रखता है जो लिए गए थे।

यह घटना एक ऐसी श्रेणी के हमले की ओर इशारा करती है जिसे तकनीकी सुरक्षा अकेले नहीं रोक सकती। एक कंपनी अपने डेटाबेस को एन्क्रिप्ट कर सकती है, अपने API का ऑडिट कर सकती है, और पेनिट्रेशन टेस्ट चला सकती है — और फिर भी उन प्रक्रियाओं के माध्यम से सामाजिक रूप से इंजीनियर किया जा सकता है जिनका पालन करना कानूनन आवश्यक है। समस्या Revolut का कोड नहीं है। यह अनसुलझा सवाल है कि कोई भी संगठन कैसे सत्यापित करे कि आधिकारिक चिह्नों वाला अनुरोध वास्तव में उस अधिकारी से उत्पन्न हुआ है जिसका वह प्रतिनिधित्व करने का दावा करता है।

Revolut ने प्रभावित ग्राहकों को सीधे सूचित किया और इसमें शामिल खातों की कुल संख्या या उन विशिष्ट बाज़ारों का खुलासा नहीं किया जहाँ एक्सपोज़र हुआ। जिस किसी को भी उल्लंघन की सूचना मिली, उनके लिए धोखेबाज़ों के हाथों में पहचान दस्तावेज़ प्लेटफ़ॉर्म से परे धोखाधड़ी के द्वार खोलते हैं — धोखाधड़ी से पासपोर्ट का उपयोग, वास्तविक खाता विवरणों का हवाला देते हुए फ़िशिंग कॉल, वित्तीय सेवाओं में पहचान की चोरी। और बिटकॉइन रिकॉर्ड एक अलग तरह की समस्या है: Revolut एक पासवर्ड रीसेट कर सकता है, लेकिन कोई भी ब्लॉकचेन को रीसेट नहीं करता।

टैग: data breach, fintech, Revolut, social engineering