הבקשה שהגיעה לרבולוט נראתה כמו פנייה רשמית לכל דבר: דואר אלקטרוני מכתובת שיושבת על דומיין אמיתי של רשות ממשלתית, ובו דרישה לקבל מידע על לקוחות מסוימים. הבדיקות הטכניות על ההודעה עברו בלי בעיה, כי הדומיין באמת היה של הרשות. מי שקיבל את הפנייה שלח את החומר, ובין מה שיצא מהחברה יש צילומי דרכונים, רישיונות נהיגה, סלפי אימות ודפי חשבון מלאים.

מה קרה

ב-12 בספטמבר אישרה רבולוט, בנק דיגיטלי בריטי עם יותר מ-80 מיליון לקוחות, שמסרה מידע רגיש על לקוחות לגורם לא מורשה. בהודעה שהחברה שלחה לנפגעים, ושאתר TechCrunch קרא, מופיעה רשימה ארוכה: שם מלא, תאריך לידה, כתובת, טלפון, דואר אלקטרוני, צילומי מסמכי זהות, סלפי האימות שצולם בפתיחת החשבון, דפי חשבון והיסטוריית פעולות. רבולוט מדגישה שהמערכות שלה לא נפרצו ושכספי הלקוחות לא נפגעו, ומדברת על מספר מוגבל של נפגעים בלי לנקוב במספר. הנתון שמסתובב בתקשורת, כ-680 לקוחות, מגיע מדיווח של 'פייננשל טיימס' והחברה לא אישרה אותו.

משם זה הידרדר. קבוצה שקוראת לעצמה iamnotavillain פרסמה חלק מהמסמכים ברשת, ובהם דרכונים וסלפי אימות של לקוחות מוכרים, וכתבה בטלגרם שתמשיך לשחרר מידע כל יום עד שרבולוט תשלם. גם דרישת הכופר שמדווחת, שלושה מיליון דולר, מגיעה מהתוקפים עצמם. לא רבולוט ולא רשויות אכיפת החוק אישרו את הסכום או את היקף החומר שנמצא בידיהם.

וב-14 בספטמבר, יומיים אחרי ההודעה הפומבית, התחילו המסרונים. חוקר של Malwarebytes תיעד הודעה שנחתה אצל לקוח שנפגע בתוך אותה שיחת SMS שבה יושבות ההודעות האמיתיות של רבולוט, כך שהיא נראתה כמו המשך טבעי שלהן. מי שלחץ על הקישור הגיע לעמוד שביקש גישה למצלמה, חיקה את בדיקת הזיהוי החיה של האפליקציה (זו שבה מבקשים מכם לסובב את הראש), ורק אחר כך ביקש סיסמה.

למה זה חשוב לכם

רבולוט עדיין לא פועלת בישראל כבנק מלא, אבל היא בדרך לשם. יש לה כבר רישיון למתן שירותי תשלום, והיא מבקשת מבנק ישראל רישיון ל"בנק רזה" שיאפשר לה לקבל פיקדונות ולתת אשראי. בינתיים ישראלים לא מעטים שחיים או חיו בחו"ל כבר מחזיקים חשבון שנפתח שם.

אבל העיקר הוא איך זה קרה. לא נדרשה כאן שום פריצה, אלא בקשה שנראתה חוקית ותהליך פנימי שהתייחס לזהות הדומיין כאל הוכחה מספקת. וזה מה שהופך את הדליפה הזאת לגרועה מדליפת סיסמאות: סיסמה מחליפים בדקה, דרכון ותמונת פנים לא מחליפים. הצירוף של מסמך מזהה, סלפי, כתובת והיסטוריית פעולות הוא בדיוק החומר שממנו בונים הודעה שנשמעת כאילו נכתבה על ידי מישהו שמכיר אתכם.

מה עושים?

אם יש לכם חשבון רבולוט, פתחו את האפליקציה ישירות ובדקו בה התראות ופעולות אחרונות. אל תיכנסו דרך קישור שהגיע בהודעה.

הודעה שנוחתת בתוך שיחת SMS קיימת עם הבנק אינה מוכיחה כלום. שם השולח במסרונים ניתן לזיוף, והטלפון מצרף הודעה חדשה לשיחה הקיימת לפי אותו שם בדיוק.

אל תאשרו גישה למצלמה בעמוד שהגעתם אליו מקישור. בדיקת זהות חיה נעשית בתוך אפליקציית הבנק, לא בדפדפן שנפתח ממסרון.

אם כבר מסרתם פרטים או צילום של מסמך, החליפו סיסמה, ודאו שאימות דו-שלבי פעיל, דווחו לחברה דרך האפליקציה והגישו תלונה במשטרה.

החלק שקשה לעכל כאן הוא שהלקוחות שנפגעו לא עשו שום דבר לא נכון, וכל מה שנדרש כדי להוציא את המידע שלהם היה מייל משכנע מספיק.