افشای اطلاعات مشتریان رولوت؛ هکرها ۱۰ هزار بیت‌کوین طلب کردند

افشای اطلاعات حساس مشتریان رولوت در پی کلاهبرداری پیچیده؛ مهاجمان خواستار ۱۰ هزار بیت‌کوین باج شدند

شرکت خدمات مالی رولوت (Revolut) روز شنبه ۱۲ سپتامبر تأیید کرد که اطلاعات حساس مشتریان خود را به یک طرف غیرمجاز افشا کرده است. این اتفاق پس از دریافت درخواست‌های جعلی داده از طریق یک آدرس ایمیل متعلق به یک دامنه دولتی معتبر رخ داده است. اطلاعات افشا شده ممکن است شامل اسناد هویتی، سلفی‌های تأیید هویت، صورت‌حساب‌های بانکی و تاریخچه تراکنش‌ها، از جمله فعالیت‌های بیت‌کوین، باشد.

رولوت در گفت‌وگو با تک‌کرانچ (TechCrunch) اعلام کرد که تعداد محدودی از مشتریان تحت تأثیر این حادثه قرار گرفته‌اند و سیستم‌ها و وجوه مشتریان دست‌نخورده باقی مانده‌اند. این حادثه نگرانی‌های جدی در زمینه حریم خصوصی ایجاد می‌کند، زیرا سوابق هویتی و تاریخچه تراکنش‌های بیت‌کوین ممکن است به دست یک طرف غیرمجاز افتاده باشد.

جزئیات حادثه چه بود؟
در این حادثه، فرد یا افرادی با جعل هویت یک نهاد دولتی و استفاده از آدرس ایمیلی در دامنه همان نهاد، درخواستی را به رولوت ارسال کرده‌اند. این درخواست پس از عبور از بررسی‌های رولوت، به عنوان جعلی شناسایی شده است. در طول این مدت، اطلاعات مشتریان افشا شده است.

مهاجمان خواستار ۱۰ هزار بیت‌کوین باج شدند

گزارش‌های اولیه حاکی از آن است که مهاجمان رولوت خواستار پرداخت ۱۰ هزار بیت‌کوین به عنوان باج شده و تهدید کرده‌اند که اطلاعات سرقت شده مشتریان را منتشر خواهند کرد. عاملان تهدید که ظاهراً با جعل هویت یک نهاد دولتی، رولوت را فریب داده و به اطلاعات حساس مشتریان دست یافته‌اند، اکنون در حال انتشار اطلاعات متعلق به مشتریان برجسته خود هستند.

اطلاعات افشا شده

در اطلاعیه‌ای که رولوت برای مشتریان متأثر ارسال کرده، تاریخ تولد، آدرس پستی و ایمیل، شماره تلفن و کپی اسناد هویتی مانند گذرنامه و گواهینامه رانندگی ذکر شده است. این بانک همچنین اعلام کرده است که سلفی‌های تأیید هویت، صورت‌حساب‌های بانکی و تاریخچه تراکنش‌ها نیز ممکن است افشا شده باشند.

رولوت اعلام کرد که پس از شناسایی این طرح، آدرس فرستنده را مسدود کرده و نهاد دولتی مربوطه، همچنین مقامات اجرای قانون، سازمان‌های حفاظت از داده‌ها و نهادهای نظارتی مالی را مطلع ساخته است. سخنگوی این شرکت، این حادثه را یک کلاهبرداری با جعل هویت خارجی توصیف کرد و تأکید نمود که سیستم‌ها و وجوه مشتریان تحت تأثیر قرار نگرفته‌اند.

ارزیابی‌های مستقل

زک‌اکس‌بی‌تی (ZachXBT)، محقق حوزه ارزهای دیجیتال، این اطلاعیه را در پستی در تلگرام منتشر کرد و چندین مورد را که در اطلاعیه خود رولوت ذکر نشده بود، اضافه کرد: شماره حساب‌های بانکی بین‌المللی (IBAN)، سوابق برداشت، مشاغل و تاریخچه تراکنش‌ها شامل بیت‌کوین. وی این حادثه را محدود در مقیاس و با هدف قرار دادن کاربران با دارایی خالص بالا ارزیابی کرد.

رولوت تعداد دقیق مشتریان متأثر را فاش نکرده است. این شرکت همچنین اعلام نکرده است که دارندگان ارز دیجیتال یا مشتریان ثروتمند به طور خاص هدف قرار گرفته‌اند، بنابراین ارزیابی گروه هدف ظاهری، جدا از افشای اولیه رولوت باقی می‌ماند.

بلاک‌چین بیت‌کوین تراکنش‌ها را به صورت عمومی ثبت می‌کند، در حالی که جزئیات شخصی مانند گذرنامه یا آدرس منزل خارج از شبکه قرار دارند. واسطه‌های مالی می‌توانند این انواع مختلف اطلاعات را از طریق سوابقی که جمع‌آوری می‌کنند، به هم متصل کنند. این حادثه نگرانی‌های مربوط به حریم خصوصی را در صورت افشای اسناد هویتی در کنار تاریخچه تراکنش‌های بیت‌کوین نشان می‌دهد.

اطلاعاتی که شامل نام، آدرس، جزئیات تماس و تاریخچه تراکنش‌ها باشد، می‌تواند تصویری دقیق‌تر از یک مشتری متأثر نسبت به هر دسته از داده‌ها به تنهایی ایجاد کند. گزارش‌ها تاکنون سوءاستفاده بعدی از اطلاعات در این حادثه را مستند نکرده‌اند، اما حساسیت سوابقی را که اطلاعات شخصی را با فعالیت مالی پیوند می‌دهند، برجسته می‌کند.

واکنش‌ها و پیامدها

واکنش رولوت شامل مسدود کردن فرستنده، اطلاع‌رسانی به نهادهای نظارتی و تماس مستقیم با مشتریان متأثر بوده است. این حادثه همچنین توجه را به نحوه ارزیابی مؤسسات مالی از درخواست‌هایی که به نظر می‌رسد از سوی نهادهای دولتی هستند و دامنه اطلاعات منتشر شده در صورت پذیرش آن درخواست‌ها به عنوان قانونی، جلب می‌کند.

برای کاربران ارزهای دیجیتال که از رولوت یا پلتفرم‌های مشابه استفاده می‌کنند، این حادثه یادآوری می‌کند که حریم خصوصی ارزهای دیجیتال می‌تواند به نحوه مدیریت اسناد هویتی، سوابق حساب و تاریخچه تراکنش‌ها توسط واسطه‌ها بستگی داشته باشد. رولوت اعلام کرده است که وجوه مشتریان امن باقی مانده است، در حالی که این افشا نشان می‌دهد که کلاهبرداری شامل یک ایمیل با دامنه دولتی ظاهراً قانونی همچنان می‌تواند داده‌های حساس مشتریان را افشا کند.