تطور اختراق بيانات شركة Revolut بشكل متسارع ليتحول إلى حملة ابتزاز نشطة، حيث بدأ المهاجمون في نشر جوازات سفر وصور شخصية حساسة للعملاء عبر الإنترنت. ويواجه مستخدمو التكنولوجيا المالية وخبراء الأمن السيبراني الآن سيناريو معقداً تُستغل فيه وثائق الهوية غير القابلة للتغيير وسجلات معاملات العملات المشفرة لطلب فدية مالية.
ولجأ المهاجمون إلى تطبيق Telegram، مهددين بنشر المزيد من بيانات العملاء يومياً حتى تدفع المؤسسة المالية الفدية المطلوبة. ورغم أن شركة Revolut لم تؤكد قيمة الفدية أو العدد الإجمالي للمستخدمين المتأثرين، فقد تم تحديد عملاء بارزين من بين الضحايا، بما في ذلك الرئيس التنفيذي السابق لمنصة Mt. Gox مارك كاربيليس، ولاعب التنس شيفتشينكو، والرئيس التنفيذي لشركة Gamdom رومر.
وتحمل البيانات المكشوفة قيمة ابتزازية عالية نظراً لاستحالة إعادة تعيينها مثل كلمات المرور. وتتضمن المعلومات المخترقة الأسماء الكاملة، وتواريخ الميلاد، والمهن، والعناوين البريدية والإلكترونية، وأرقام الهواتف، ونسخاً من جوازات السفر ورخص القيادة، وصور التحقق الشخصية. وعلاوة على ذلك، يكشف التسريب عن كشوف الحسابات، وأرقام الحسابات المصرفية الدولية (IBAN)، وسجلات المعاملات الكاملة، بما في ذلك سجلات محددة لنشاط عملة Bitcoin.
وعلى عكس اختراقات قواعد البيانات التقليدية، نُفذ هذا الهجوم عبر طلب بيانات طوارئ احتيالي (Fake EDR). وأرسل المهاجمون طلباً للحصول على سجلات العملاء باستخدام عنوان بريد إلكتروني مستضاف على نطاق وكالة حكومية شرعية. ونظراً لأن المراسلات اجتازت الفحوصات الداخلية لصدورها من بنية تحتية حقيقية للوكالة، فقد نجح المرسل غير المصرح له في تجاوز بروتوكولات الأمان القياسية.
وحظرت شركة Revolut العنوان منذ ذلك الحين وأبلغت جهات إنفاذ القانون، وسلطات حماية البيانات، والجهات التنظيمية المالية. ومع ذلك، يُعد مسار طلبات الطوارئ الاحتيالية خللاً منهجياً في الصناعة له تاريخ موثق. ففي عام 2021، استخدم قراصنة مراهقون مرتبطون بمجموعتي Recursion Team و Lapsus$ حسابات شرطة مخترقة لاستخراج بيانات المستخدمين من شركة Apple، وشركة Meta، ومنصة Discord، مما دفع مكتب التحقيقات الفيدرالي (FBI) لإصدار تحذير محدد في نوفمبر 2024 بشأن تصاعد هذه الهجمات.
كيفية التخفيف من هجمات طلبات البيانات الاحتيالية
يجب على فرق الأمان والوسطاء الماليين الخاضعين للتنظيم تنفيذ بروتوكولات تحقق أكثر صرامة لمواجهة التباين في الطلبات الاحتيالية. ولم يعد الاعتماد حصرياً على مصادقة النطاق كافياً عند التعامل مع ما يقرب من 18,000 جهة لإنفاذ القانون في الولايات المتحدة وحدها.
- تنفيذ تحقق عبر اتصال خارجي (Out-of-band callback) من خلال الاتصال بالوكالة الطالبة عبر رقم هاتف منشور رسمياً.
- تسجيل ومقاطعة كل طلب وارد من جهات إنفاذ القانون لتحديد الأنماط المشبوهة أو جهات الاتصال التي تتواصل لأول مرة دون سجل مسبق.
- الاستفادة من المعلومات الاستخباراتية المشتركة بين الشركات المالية لاكتشاف ما إذا كان نفس المرسل الاحتيالي يتواصل مع مؤسسات متعددة في وقت واحد.
ثغرة التحقق التي تهدد توسع التكنولوجيا المالية
يكشف تصاعد هذا الاختراق عن نقطة ضعف حرجة في كيفية تعامل المؤسسات المالية مع الاحتكاك بين الامتثال القانوني وأمن البيانات. وتُصمم طلبات بيانات الطوارئ عمداً لتكون سريعة لمعالجة التهديدات الوشيكة، وغالباً ما تتجاوز الحاجة إلى أمر محكمة. وتخلق كل عملية تحسين للسرعة في هذه القناة ثغرة تحقق يستغلها الآن المهاجمون المدعومون من دول وعصابات الابتزاز بشكل نشط.
ويأتي هذا الحادث في وقت حساس للغاية لشركة Revolut مع توسعها في الخدمات المصرفية والعملات المستقرة في الولايات المتحدة بعد حصولها على موافقة مبدئية لتأسيس بنك وطني. ويتطلب بناء عمل تجاري يعتمد على الاحتفاظ ببيانات الهوية والمعاملات غير القابلة للتغيير تبني نموذج انعدام الثقة (Zero Trust) في الاتصالات الخارجية. وإذا كان حساب بريد إلكتروني واحد مخترق للشرطة قادراً على تجاوز دفاعات منصة تكنولوجيا مالية كبرى، فيجب على الصناعة بأكملها الانتقال من التحقق المعزول إلى إثبات هوية تشفيري إلزامي ومشترك لجميع طلبات إنفاذ القانون.
