רבולוט מסרה דרכונים והיסטוריית עסקאות ביטקוין לפנייה שהתחזתה לרשות ממשלתית

הבנק הדיגיטלי הבריטי רבולוט אישר כי מידע אישי של חלק מלקוחותיו הועבר לגורם עוין, לאחר שהחברה נענתה לבקשת מידע שנחזתה להיות בקשה רשמית מטעם רשות ממשלתית. לפי Decrypt ו-Cointelegraph, החומר שנמסר כולל צילומי דרכונים ומסמכי זיהוי, תמונות סלפי שנאספו בתהליך אימות הזהות, ודוחות פעילות פיננסית — ובכללם היסטוריית עסקאות מלאה בביטקוין.

רבולוט מגדירה את היקף הנפגעים כ"מוגבל", אך לא פרסמה מספר. בדיווחים נוספים על הפרשה נכתב שמספר המשתמשים שנפגעו אינו ידוע כלל, וכל עוד החברה אינה מוסרת נתון מדויק, הפער הזה נשאר פתוח: "מוגבל" הוא הערכה של הצד שנפרץ, לא ספירה מאומתת.

הפנייה הגיעה מהדומיין הנכון

הפרט המרכזי בפרשה הזאת אינו כמות המידע אלא הדרך שבה הוא יצא. לפי Decrypt, הבקשה נשלחה מתוך דומיין הדואר האלקטרוני של הרשות הממשלתית עצמה — לא מכתובת דומה, לא מדומיין שהוקם במיוחד כדי להיראות אמיתי. כלומר מנגנוני האימות הטכניים של הדואר, אותם מנגנונים שאמורים לוודא שהשולח הוא מי שהוא טוען, החזירו תשובה חיובית — משום שמבחינתם השולח אכן היה מי שטען.

בנקים וגופים פיננסיים מקבלים באופן שגרתי בקשות מידע מרשויות אכיפה ורגולציה, והנוהל בנוי סביב ההנחה שדומיין ממשלתי מאמת את עצמו. כאן ההנחה הזאת קרסה. השאלה "האם המכתב הגיע מכתובת אמיתית" נענתה נכון, אבל היא לא השאלה שהייתה צריכה להישאל — והיא גם ההבדל בין הפרשה הזאת לבין פישינג רגיל, שבו בדיקת הדומיין היא בדיוק ההגנה שעובדת.

המקורות אינם מציינים באיזו רשות מדובר, ואינם קובעים אם חשבון הדואר נפרץ, נגנב ממשתמש לגיטימי, או נוצל בדרך אחרת. גם נוהל האימות שרבולוט מפעילה מול בקשות כאלה, ואם בכוונתה לשנותו, טרם פורסם.

דרישת כופר, לפי הדיווח

בשלב מאוחר יותר דיווח Cointelegraph כי התוקפים פרסמו ברשת מסמכי זיהוי ותמונות סלפי של לקוחות, ואיימו לשחרר מנה נוספת של נתונים מדי יום עד שהחברה תשלם. הדיווח מנוסח בזהירות כידיעה מדווחת ולא כעובדה מאושרת, ובשלב זה אין במקורות שלפנינו אישור של רבולוט לקיומה של דרישת תשלום.

מסמך זיהוי אינו סיסמה שניתן להחליף

הצירוף שנחשף כאן הוא הבעיה: דרכון, תמונת פנים מאימות זהות, והיסטוריית עסקאות. סיסמה שדלפה מחליפים בחמש שניות; דרכון ופנים — לא. ומי שמחזיק את שלושת הרכיבים האלה יחד יודע לא רק מי אתם, אלא גם כמה ביטקוין עבר בחשבון ומתי.

מכאן נגזרת התוצאה המעשית. שיחה או הודעה מ"נציג אבטחה" שיודע לצטט את מספר הדרכון שלכם ואת פרטי העסקה האחרונה שביצעתם נשמעת אמינה לחלוטין — וזו בדיוק הסיבה שידיעת פרטים אישיים חדלה להיות הוכחת זהות. הכלל הפשוט שנובע מהמקרה הזה: אל תגיבו לפנייה יזומה, גם כשהיא מדויקת להפליא. נתקו, וצרו קשר בעצמכם בערוץ שאתם מכירים מראש. בקשה להעביר כספים ל"ארנק מאובטח" עד לבירור העניין היא סימן ההיכר של ההמשך הצפוי למקרים כאלה.

עבור מי שמחזיק מטבעות בארנק אישי, החשיפה של היסטוריית העסקאות משמעותה שגורם עוין מכיר את סדר הגודל של ההחזקות ואת שם המחזיק. אין כאן מה "לאפס", אבל יש מה לשנות: פרטי ההתקשרות והכתובת שמופיעים אצל השירותים הפיננסיים שאתם משתמשים בהם, וכל מנגנון שחזור חשבון שנשען על צילום מסמך זיהוי — שכן המסמך הזה כבר אינו סוד.

מקורות: Decrypt · Cointelegraph · BeInCrypto · Bitcoin.com News

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.