ריבולוט מאשרת חשיפת מידע אישי של לקוחות בעקבות ניסיון הונאה

ריבולוט, חברת הפינטק הבריטית, אישרה רשמית כי חלק מהמידע האישי של לקוחותיה נחשף לאחר שהותקפה על ידי גורמים פליליים. ההתקפה בוצעה באמצעות ניסיון הונאה שבו הושגו מידע רגיש של משתמשים מסוימים.

המתקפה התבססה על שימוש בבקשות חירום מזויפות שנועדו להיראות כמגיעות מרשויות ממשלתיות או גורמי אכיפת חוק. הגורמים הפליליים שלחו מכתבים, דואר אלקטרוני ואמצעי זיהוי דיגיטליים מזויפים לצוותי עיבוד הבקשות של החברה. המסמכים הללו היו בעלי מראה ופורמט מטעים מאוד, מה שגרם לעובדי התמיכה והעמידה בתקנים לחשוב בטעות שמדובר בבקשות חוקיות. כתוצאה מכך, הועברו מידע על חשבונות מסוימים למבקשים.

המידע שנחשף כלל פרטים אישיים בסיסיים של הלקוחות המושפעים. בין הנתונים שנחשפו נכללים שמות מלאים, כתובות דואר אלקטרוני, מספרי טלפון, היסטוריית עסקאות חלקית ומטא־נתונים על החשבונות. החברה הדגישה כי הנתונים הכי קריטיים, כגון פרטי התחברות, סיסמאות, קודי PIN דינמיים ומספרי כרטיסי אשראי, לא נפגעו. הכספים והנכסים של המשתמשים נותרו בטוחים לחלוטין, והארכיטקטורה הקריפטוגרפית הבסיסית של המערכת לא הופרה טכנית.

לאחר שהמנגנונים הבטחניים הפנימיים זיהו דפוסי זרימת מידע חריגים, החברה הפעילה מיד תהליך תגובה לחרום. פעולה זו חתכה את שרשרת ההתקפה. בנוסף, החברה ביצעה בדיקה רטרוספקטיבית מקיפה של כל הבקשות הפתוחות וההיסטוריות של שיתוף פעולה עם רשויות. האירוע הוגש רשמית לרשויות הגנת הנתונים ולגורמי אכיפת החוק הרלוונטיים, והחברה שותפת לגורמי אבטחה מקצועיים כדי לזהות את הגורמים שמאחורי הבקשות המזויפות.

האירוע חושף סיכון חדש של התקפות הנדסה חברתית שמכוונות ישירות לערוצי העמידה בתקנים שאינם טכניים, במקום לעקוף חומות אש. כדי למנוע חזרה של אירועים דומים, החברה מודיעה כי היא בונה מחדש את מערכת בדיקת הבקשות המשפטיות. היא מציבה מנגנוני אימות מרובים ומנותקים מהרשת, ומשדרגת תהליכים אוטומטיים לזיהוי הונאה ולאימות צולב של אמצעי זיהוי. הלקוחות המושפעים קיבלו כבר התראות אבטחה ייעודיות, והחברה ממליצה להם להישאר ערניים מפני ניסיונות דגישת דואר אלקטרוני או הונאה בפקסימיליה שמנסים להתחזות לשירות הלקוחות הרשמי.