Revolut-afpersers eisen $3 miljoen in Monero na Europees datalek
$3 miljoen in Monero of gestolen klantgegevens gaan naar andere criminelen. Dat ultimatum heeft een groep die zegt achter het Revolut-datalek te zitten openbaar gemaakt nadat gegevens van ongeveer 680 klanten in verkeerde handen kwamen.
Onder de slachtoffers zitten 36 Nederlanders. Revolut zegt alleen dat het bedrijf zelf geen rechtstreekse losgeldeis van de vermeende daders heeft ontvangen en dat klanttegoeden niet zijn binnengedrongen.
Hackers eisen ongeveer 6.000 XMR
De groep noemt zichzelf iamnotavillain en plaatste woensdag een aftelklok met een ultimatum.
Volgens de Financial Times eisen de vermeende daders ongeveer 6.000 XMR, op het moment van de eis goed voor ongeveer $3 miljoen. Als Revolut niet binnen 24 uur betaalt, dreigt de groep de buitgemaakte informatie aan andere criminelen te verkopen.
De keuze voor Monero is niet willekeurig.
XMR is gebouwd om belangrijke transactiegegevens standaard af te schermen.
Geen bevestigde onderhandelingen met Revolut
Het openbare ultimatum betekent niet dat Revolut met de groep onderhandelt.
Een woordvoerder liet Reuters weten dat het bedrijf geen direct contact of directe eis van de personen achter de claim heeft ontvangen.
De hackers vertelden zelf dat zij hun nieuwe website voor het eerst gebruiken om de eis openbaar te maken.
De $3 miljoen is dus een publieke afpersingseis van de vermeende daders, niet een door Revolut bevestigde onderhandeling.
Dat onderscheid telt zolang het onderzoek naar de groep nog loopt.
Revolut zelf werd niet rechtstreeks gehackt
Ook de manier waarop de gegevens werden verkregen wijkt af van een klassieke hack.
Revolut bevestigde eerder dat een onbevoegde partij frauduleuze informatieverzoeken indiende vanaf een e-maildomein dat daadwerkelijk bij een overheidsinstantie hoorde.
Daardoor leken de verzoeken legitiem.
Revolut verstrekte vervolgens klantinformatie die uiteindelijk bij een onbevoegde partij terechtkwam. De eigen kernsystemen, databases en klantaccounts werden volgens het bedrijf niet gekraakt.
Dit was dus vooral een aanval op vertrouwen en controleprocedures.
Ongeveer 680 klanten geraakt
Het incident trof naar schatting 680 Revolut-klanten in verschillende Europese landen.
Revolut heeft de betrokken klanten geïnformeerd en de zaak bij autoriteiten en toezichthouders gemeld.
Nederland telt 36 getroffen klanten.
De zaak is daardoor ook direct relevant voor Nederlandse gebruikers, zeker nu de gestolen informatie mogelijk verder wordt verspreid.
Identiteitsdocumenten en financiële informatie buitgemaakt
De gestolen dossiers kunnen bijzonder gevoelig zijn.
In de berichtgeving over getroffen klanten worden onder meer paspoort- en identiteitsgegevens, adressen, rekeninginformatie en transactiegeschiedenis genoemd. Ook verificatiebeelden zouden in sommige dossiers voorkomen.
Dat geeft criminelen meer dan alleen een e-mailadres en telefoonnummer.
Met een combinatie van identiteits- en financiële gegevens kunnen phishingberichten veel persoonlijker worden gemaakt.
Een aanvaller kan bijvoorbeeld verwijzen naar echte rekeninggegevens of eerdere transacties om een vals verhaal geloofwaardiger te maken.
Hackers zeggen crypto-whales bewust te hebben gezocht
Voor cryptobezitters zit er nog een tweede risico in het verhaal.
De groep beweert blockchainanalyse te hebben gebruikt om Revolut-klanten met omvangrijke cryptobezittingen te selecteren.
De Financial Times rapporteerde dat de vermeende daders specifiek spraken over “crypto whales”.
Dat is op dit moment een claim van de aanvallers.
Revolut heeft niet publiek bevestigd dat alle getroffen klanten vanwege hun cryptovermogen zijn geselecteerd.
Het verschil is belangrijk.
Dat gegevens zijn gelekt staat vast. Dat de volledige groep slachtoffers via blockchainanalyse is gekozen, is nog niet onafhankelijk aangetoond.
Open blockchains kunnen pseudoniem profiel blootleggen
De methode is technisch wel voorstelbaar.
Op veel openbare blockchains zijn transacties zichtbaar.
Een wallet toont normaal gesproken geen naam of woonadres, maar onderzoekers kunnen transactiestromen tussen adressen volgen.
Zodra een adres via bijvoorbeeld een exchange, gelekte accountinformatie of andere gegevens aan een persoon wordt gekoppeld, verandert een pseudoniem profiel ineens in een persoonlijk financieel dossier.
Daarom is juist de combinatie van KYC-data en blockchaininformatie gevoelig.
KYC wordt zelf waardevolle buit
Financiële bedrijven verzamelen veel gegevens omdat zij klanten moeten identificeren en financiële criminaliteit moeten bestrijden.
Daarbij worden geregeld identiteitsdocumenten, adressen en verificatiefoto's opgeslagen.
Dat is logisch vanuit klantonderzoek.
Maar dezelfde dossiers worden waardevol zodra criminelen toegang krijgen.
Een aanvaller krijgt dan precies de gegevens waarmee hij zich overtuigend als bank, cryptoplatform of zelfs als het slachtoffer zelf kan voordoen.
Waarom de afpersers Monero willen
Monero verschilt op een belangrijk punt van Bitcoin.
Bij Bitcoin zijn transactiestromen publiek zichtbaar.
Monero schermt bij normale transacties standaard de verzender, ontvanger en het bedrag af met verschillende privacytechnieken. Dat bevestigt ook de officiële Monero-documentatie.
Ring signatures helpen de herkomst af te schermen.
Stealth addresses verbergen de uiteindelijke ontvanger en RingCT schermt het verzonden bedrag af.
Dat maakt publieke blockchainanalyse aanzienlijk moeilijker dan bij Bitcoin.
Monero maakt een crimineel niet automatisch onzichtbaar
Ook daar hoort een rem bij.
Privacy op de blockchain beschermt niet tegen iedere vorm van onderzoek.
De officiële Monero-FAQ waarschuwt zelf dat privacy kan verdwijnen wanneer iemand persoonlijke gegevens deelt, zijn apparaat wordt gecompromitteerd of sleutelinformatie wordt buitgemaakt.
Ook het kopen of verkopen van XMR via een gereguleerde exchange kan informatie buiten de blockchain opleveren.
Monero verbergt dus veel meer on-chain informatie.
Het wist de wereld rondom een transactie niet uit.
Nederlandse slachtoffers moeten vooral op vervolgaanvallen letten
Voor de 36 Nederlandse slachtoffers ligt het directe risico daarom niet alleen bij wat al gelekt is.
Gestolen informatie kan maanden of jaren later opnieuw worden gebruikt.
Een bericht kan bijvoorbeeld echte persoonsgegevens bevatten en daardoor overtuigend ogen. Een beller kan weten welke rekening of financiële dienst iemand gebruikt.
Dat maakt normale anti-phishingreflexen zwakker.
Revolut adviseert bij mogelijke fraude communicatie met de verdachte partij direct te stoppen en zelf via de officiële app ondersteuning te zoeken.
Datalek krijgt met afpersing een tweede fase
Het oorspronkelijke incident draaide om misbruik van een betrouwbaar overheidskanaal.
De vermeende daders proberen de verkregen informatie nu volgens hun publieke ultimatum rechtstreeks te gelde te maken.
Voor Revolut verandert daarmee het karakter van de zaak.
Eerst moest het bedrijf vaststellen welke gegevens door misleiding waren verstrekt.
Nu hangt daar ook de dreiging boven dat die gegevens verder onder criminelen worden verspreid.
Voor cryptobezitters is vooral de combinatie ongemakkelijk: KYC-data vertelt wie iemand is, financiële data vertelt wat iemand doet en blockchainanalyse kan in sommige gevallen laten zien waar digitaal vermogen beweegt.
De 6.000 XMR-eis is daardoor niet het enige risico.
De gestolen informatie kan veel langer meegaan dan de aftelklok van de afpersers.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
