Revolut tietovuoto viranomaispyyntö on esimerkki tilanteesta, jossa tietovuoto ei synny palvelimen murrosta tai sovellushaavoittuvuudesta, vaan luottamukseen kohdistuvasta huijauksesta. Revolut on vahvistanut tietoturvapoikkeaman, jossa asiakastietoja luovutettiin petollisten tietopyyntöjen perusteella. Yhtiön mukaan sen ydininfrastruktuuri, mobiilisovellus ja asiakasvarat eivät vaarantuneet.
Yrityksille tapauksen tärkein oppi on selkeä: viranomaiselta näyttävä sähköposti ei yksin todista, että tietopyyntö on aito, laillinen ja oikeassa laajuudessa tehty. Kun käsitellään henkilöllisyysdokumentteja, KYC-aineistoa, tilitietoja tai maksutapahtumia, prosessin pitää kestää myös tilanne, jossa lähettäjän domain näyttää luotettavalta.
Mitä Revolutin tietovuodossa tapahtui?
Revolutin mukaan kyse oli kehittyneestä ulkoisesta impersonointi- tai social engineering -huijauksesta. Hyökkääjät esiintyivät viranomaisina ja käyttivät sähköpostiosoitetta, joka liittyi aitoon viranomaisdomainiin. Tämän vuoksi tietopyynnöt näyttivät ensi silmäyksellä uskottavilta.
Mahdollisesti luovutettuja tietoja olivat muun muassa asiakkaiden nimet, syntymäajat, ammatit, osoitteet, sähköpostiosoitteet, puhelinnumerot, passien ja ajokorttien kopiot, henkilöllisyyden varmistuksessa käytetyt selfiet, tiliotteet, IBAN-tiedot, nostotiedot ja tapahtumahistoriat. Osalle asiakkaista on kerrottu, että myös Bitcoin- tai muuta kryptovaluutta-aktiviteettia koskevia tietoja saattoi päätyä ulkopuolisille.
Revolut on ilmoittanut estäneensä käytetyn sähköpostiosoitteen ja tehneensä ilmoituksia asianomaisille viranomaisille, lainvalvonnalle, tietosuojaviranomaisille ja finanssivalvojille. Yhtiö ei ole julkistanut viranomaista, jonka domainia käytettiin, tarkkaa vaikutusaluetta eikä lopullista asiakasmäärää. Julkisten tietojen perusteella vaikutus koski rajattua joukkoa asiakkaita.
Oliko kyse teknisestä tietomurrosta vai prosessipohjaisesta tietovuodosta?
Revolutin ilmoituksen perusteella kyse ei ollut perinteisestä teknisestä murrosta, jossa hyökkääjä tunkeutuu järjestelmiin, murtaa käyttäjätilejä tai hyödyntää ohjelmistohaavoittuvuutta. Tässä tapauksessa hyökkäyksen kohteena oli tietopyyntöjen käsittelyprosessi ja organisaation luottamus viranomaiselta näyttävään viestintään.
Tämä ero on yrityksille käytännössä tärkeä. Organisaatio voi olla teknisesti hyvin suojattu, mutta silti luovuttaa arkaluonteista tietoa väärälle taholle, jos hyväksyntäketju, vastuiden jako, lokitus ja pyynnön validointi eivät ole riittävän vahvoja. Tietosuoja- ja kyberturvariski ei siis rajoitu palomuureihin, päätelaitesuojaukseen tai sovelluspäivityksiin.
Suomi Solutions näkee vastaavissa arvioinneissa usein, että yrityksen tekninen suojaus on kehittynyt nopeammin kuin hallinnolliset prosessit. Käytännön varautuminen tarkoittaa, että myös tietoluovutusten työjonot, hyväksyntämallit ja käyttäjäoikeudet tarkistetaan yhtä huolellisesti kuin palvelinympäristö, Microsoft 365 -ympäristö tai WordPress-ylläpito.
Miksi aito viranomaisdomain ei riitä todisteeksi?
Aito domain kertoo vain, mistä teknisestä ympäristöstä viesti on tullut. Se ei todista, että lähettäjällä on toimivalta tehdä pyyntö, että pyyntö liittyy oikeaan asiaan tai että liitteissä esitetty oikeusperuste on pätevä. Jos viranomaisen sähköpostitili on kaapattu tai sitä käytetään väärin, viesti voi läpäistä tavanomaiset sähköpostin tekniset tarkistukset.
SPF, DKIM ja DMARC auttavat torjumaan väärennettyjä lähettäjiä, mutta ne eivät ratkaise sitä, onko aidosta postilaatikosta lähtenyt pyyntö sisällöllisesti oikeutettu. Siksi yrityksen pitää validoida korkean riskin tietopyyntö erillistä kanavaa pitkin. Tarkistukseen kuuluvat ainakin viranomaisen yhteyshenkilö, asianumero, toimivaltaperuste, maakohtainen oikeusperusta ja pyydettyjen tietojen laajuus.
Miksi passikopiot, selfiet ja tapahtumahistoriat ovat erityisen riskialttiita?
Salasana voidaan vaihtaa ja maksukortti voidaan sulkea, mutta passikopiota, syntymäaikaa, kotiosoitetta ja henkilöllisyyden varmistuskuvaa ei voi perua samalla tavalla. Kun nämä tiedot yhdistyvät IBAN-tietoihin, tiliotteisiin ja tapahtumahistoriaan, rikollinen voi rakentaa erittäin uskottavia huijauksia.
Kohdennettu hyökkääjä voi esimerkiksi väittää olevansa pankista, viranomaiselta, kryptopalvelusta tai sijoituspalvelusta ja käyttää oikeita tapahtumatietoja luottamuksen luomiseen. Jos mukana on tietoa kryptovaluutta-aktiviteetista, riski voi kasvaa entisestään, koska tapahtumahistoria voi paljastaa varallisuutta, käyttäytymistä ja sijoitusprofiileja.
Yrityksen näkökulmasta tämä tarkoittaa, että kaikkia tietoja ei pidä käsitellä samanarvoisina. Henkilöllisyysdokumentit, biometriseen tunnistukseen liittyvät kuvat, täydet tapahtumahistoriat ja maksutiedot tarvitsevat tiukemmat kontrollit kuin tavanomaiset yhteystiedot.
Miten yrityksen pitää varmistaa viranomaisen tietopyyntö?
Yrityksen kannattaa rakentaa keskitetty viranomaispyyntöjen käsittelyprosessi, jossa jokainen pyyntö kirjataan, luokitellaan, validoidaan, hyväksytään ja auditoidaan. Prosessin pitää olla riittävän nopea aitoihin kiiretilanteisiin, mutta kiire ei saa poistaa tarkistusvaiheita.
- Varmista pyyntö erillistä kanavaa pitkin. Käytä viranomaisen virallisesta hakemistosta saatua yhteystietoa, älä viestissä annettua puhelinnumeroa tai vastausosoitetta.
- Tarkista oikeusperusta ja toimivalta. Pyynnöllä pitää olla asianumero, selkeä peruste ja toimivaltainen lähettäjä.
- Noudata vähimmän tiedon periaatetta. Luovuta vain se tieto, joka on laillisesti tarpeen ja pyyntöön suhteutettu.
- Käytä neljän silmän periaatetta. Henkilöllisyysdokumenttien, selfieiden, tiliotteiden ja tapahtumahistorioiden luovutus ei saa olla yhden henkilön päätös.
- Nosta poikkeavat pyynnöt automaattisesti tarkastukseen. Useita asiakkaita, kryptotapahtumia, varakkaita asiakkaita tai täydellisiä tietohistorioita koskevat pyynnöt kuuluvat korkean riskin luokkaan.
- Pidä kattava loki. Lokista pitää selvitä, kuka hyväksyi pyynnön, mitä luovutettiin, millä perusteella ja milloin poikkeama havaittiin.
Suomi Solutions voi auttaa yrityksiä arvioimaan, missä kohtaa tietopyyntöjen, Microsoft 365 -käyttöoikeuksien, lokituksen ja palvelinympäristön hallinnan kontrollit ovat liian kevyitä. Käytännössä tämä voi tarkoittaa esimerkiksi prosessikartoitusta, käyttöoikeuksien tarkistusta, lokien keruun parantamista, henkilöstön koulutusta ja tabletop-harjoitusta petollisista viranomaispyynnöistä.
Miten ilmiö näkyy yrityksen arjessa?
Arjessa riski näkyy usein tavallisena sähköpostina, jossa pyydetään tietoja kiireellisesti ja virallisen näköisesti. Viesti voi tulla aidolta näyttävästä osoitteesta, sisältää uskottavan allekirjoituksen ja viitata vakavaan tilanteeseen. Juuri siksi työntekijän ei pidä joutua ratkaisemaan asiaa yksin kiireen alla.
Finanssi-, fintech-, teleoperaattori-, pilvi-, alustatalous- ja terveydenhuoltoyrityksissä käsitellään tietoja, jotka kiinnostavat sekä viranomaisia että rikollisia. Jos viranomaispyyntöjä vastaanotetaan sähköpostitse ilman suojattua portaalia, vahvaa vastapuolen tunnistusta tai monivaiheista hyväksyntää, tietovuodon riski kasvaa.
Myös pienemmille yrityksille tapaus on ajankohtainen. Sama periaate koskee esimerkiksi asiakasrekistereitä, verkkokaupan tilaustietoja, henkilöstödataa, laskutusaineistoa ja tukipyyntöihin liittyviä henkilötietoja. Kun tietoja luovutetaan ulkopuolelle, yrityksen on tiedettävä kuka pyytää, millä perusteella, mitä tarkalleen luovutetaan ja kuka vastaa päätöksestä.
Mitä yrityksen kannattaa tehdä nyt?
Yrityksen kannattaa ensin selvittää, missä kanavissa viranomais-, asiakas- ja kumppanitietopyyntöjä vastaanotetaan. Sen jälkeen pitää tarkistaa, voiko yksittäinen työntekijä luovuttaa arkaluonteista tietoa ilman toista hyväksyjää, lakiteknistä tarkistusta tai erillistä vastapuolen varmistusta.
Seuraavaksi kannattaa päivittää henkilöstön ohjeistus. Koulutuksessa on tärkeää sanoa suoraan, että myös aidosta domainista tuleva viesti voi olla petollinen, jos tili on kaapattu tai sitä käytetään väärin. Ohjeisiin pitää sisältyä selkeä toimintamalli: älä vastaa kiireellä, älä käytä viestissä annettua vahvistusnumeroa, kirjaa pyyntö ja siirrä se oikeaan hyväksyntäketjuun.
Yrityksen kannattaa myös valmistella asiakasviestinnän malli tilanteisiin, joissa tietoja on voinut päätyä väärälle taholle. Viestissä pitää kertoa selkeästi, mitä tietoja on voinut vuotaa, mitä asiakas voi tehdä, miten kalasteluviestejä tunnistetaan ja mitä kanavia yritys käyttää jatkoviestintään.
Jos oma prosessi on epäselvä, Suomi Solutions auttaa muuttamaan havainnot konkreettisiksi toimenpiteiksi: riskien arvioinniksi, valvonnan parantamiseksi, käyttöoikeuksien koventamiseksi, Microsoft 365 -ympäristön suojaamiseksi ja sisäisten toimintamallien harjoitteluksi. Lisätietoja käytännön IT- ja kyberturvatuesta löytyy osoitteesta https://suomisolutions.fi/.
