Revolut je otkrio da su podatci klijenata iscurili preko državne domene

Kad ti financijska institucija kaže da je "ograničen broj" klijenata pogođen sigurnosnim incidentom, to znači isto što i "malo sam trudna" — tehnički gledano nije laž, ali nitko normalan ne bi tako formulirao rečenicu da ne pokušava nešto zataškati. Revolut je upravo objavio da su osjetljivi podatci dijela njegovih korisnika otkriveni u prevari u kojoj je neovlaštena treća strana koristila legitimnu domenu državne e-pošte. Pročitaj to još jednom. Legitimna. Domena. Državne. E-pošte. Ne phishing s domenom "vladahr-rs.hr" ili "minstarstvo-financija.com". Prava domena. Pravi certifikat. Prava institucija koja očito ne zna da joj netko šalje poštu u njezino ime.

To je onaj trenutak kad shvatiš da cijela priča o "cyber sigurnosti" koju slušamo dvadeset godina ima rupu veličine ministarstva. Jer ako napadač može poslati e-mail s domene koja pripada državi, onda ne pomaže ti dvofaktorska autentifikacija, ne pomaže ti enkripcija, ne pomaže ti onaj mali zeleni lokot u pregledniku koji ti daje lažni osjećaj sigurnosti kao kad dijete drži očevu ruku na zebri. Problem nije u tehnologiji koju koristiš. Problem je u tehnologiji koju koristi netko drugi — i to netko kome si zakonski dužan vjerovati.

Revolut je, kao i svaka fintech kompanija koja je narasla iz aplikacije u nešto što ima više korisnika nego što Hrvatska ima stanovnika, u poziciji gdje svaki incident znači dvije stvari: pravni rizik i reputacijski rizik. Pravni rizik se da izračunati. Reputacijski se ne da, jer reputacija fintech kompanije nije u bilanci nego u glavi korisnika koji sljedeći put kad vidi notifikaciju "prijavite se ponovno" pomisli — je li ovo opet ono sranje iz rujna. I to je jedina istina koja ostaje nakon što odvjetnici završe s priopćenjem.

Ali prava priča nije Revolut. Revolut je simptom. Prava priča je državna e-mail domena koja je poslužila kao paravan za prevaru, i pitanje koje nitko od nadležnih neće postaviti jer bi odgovor bio previše neugodan: kako je, koji kurac, moguće da netko pošalje e-mail s domene državne institucije, a da ta institucija ne zna da se to dogodilo? Postoje tri odgovora i svi su loši. Prvi: institucija zna, ali ne želi priznati. Drugi: institucija ne zna jer joj je infrastruktura na razini koju bi student druge godine informatike popravio u jedno popodne. Treći: institucija je znala i dopustila, što otvara pitanja na koja ni odvjetnici ne žele odgovarati.

Nema četvrtog odgovora. Nema "tehničke greške". Nema "nismo bili obaviješteni". Ako ti domena može poslužiti kao alat za prevaru protiv tisuća ljudi, onda ti domena nije sigurna, a ti nisi institucija — ti si otvoreni sezam za svakoga tko zna upisati adresu u polje "from".

Ono što je posebno gorko u cijeloj priči je da je ovakav tip prevare — e-mail s vjerodostojne domene, s vjerodostojnim potpisom, s vjerodostojnim logom — najstariji trik u knjizi, samo s boljim maskiranjem. Prije dvadeset godina, kad sam postavljao prve mail servere na Kvarneru, osnovna higijena bila je SPF rekord, DKIM potpis i DMARC politika. Tri stvari koje su bile dostupne svakome, besplatne, i koje su rješavale devedeset posto ovakvih napada. Danas, dvadeset godina kasnije, državne institucije u pola Europe još nemaju DMARC postavljen na "reject", nego na "none" — što je isto kao da staviš bravu na vrata, ali je ostaviš otključanu jer "ne želiš nikoga uvrijediti".

Ako država ne može postaviti tri DNS zapisa za svoju e-mail domenu, kako točno planira zaštititi zdravstvene podatke, porezne prijave i matične knjige? Ne može. Ne planira. Planira se praviti da je problem negdje drugdje — u Revolutu, u korisnicima koji su "nasjeli", u "sve sofisticiranijim napadačima". Riječ "sofisticiran" je u ovom kontekstu najveća laž u priopćenju. Nema ništa sofisticirano u slanju e-maila s tuđe domene. To je kao da ti netko uleti u stan kroz otvoreni prozor i onda kažeš da je provalnik bio sofisticiran. Nije bio. Bio je prilika, a ti si bio budala.

Revolut u cijeloj priči nije žrtva. Revolut je posrednik. On je taj koji je korisnicima rekao: vjerujte nam s novcem, a mi ćemo vas štititi od svega. I onda se pokazalo da je jedan od napada došao kroz kanal koji Revolut ne kontrolira — državnu e-poštu — i da tu nema obrane. Nema je jer je ne možeš postaviti. Ti možeš postaviti dvofaktorsku autentifikaciju, možeš postaviti biometriju, možeš postaviti AI detekciju prevara koja radi na milijun parametara u sekundi, ali ne možeš postaviti ništa protiv toga da ti e-mail dođe s domene kojoj vjeruješ. To je kao da imaš pancirna vrata, alarm, kamere i psa — a onda ti lopov uđe kroz vrata jer ih je susjed ostavio otvorena.

I tu dolazimo do stvari koja bi trebala biti naslov svake vijesti o cyber sigurnosti, a nikad nije: sigurnost nije proizvod. Sigurnost je lanac. I lanac je jak koliko i najslabija karika. A najslabija karika nije nikad ona koju ti kontroliraš. Nikad. Uvijek je ona koju kontrolira netko drugi — dobavljač, partner, državna institucija, cloud provider, onaj tip koji je prije pet godina postavio server i onda otišao u drugu firmu, a nitko ne zna gdje su lozinke. Lanac puca tamo gdje nitko ne gleda, i to je jedina konstanta u cijeloj industriji.

Za korisnike Revoluta, praktični savjet je isti kao i za korisnike bilo koje druge financijske institucije: pretpostavite da su vaši podatci već vani. Ne "možda", ne "u ograničenom broju slučajeva", ne "u slučaju da ste bili pogođeni". Vani su. Ako ste ikad ostavili svoj broj telefona, adresu, OIB ili broj osobne u bilo kojoj aplikaciji koja je ikad imala incident, pretpostavite da je to sada u nekoj bazi podataka koju netko prodaje na forumu za pet dolara. To nije paranoja. To je statistika. I to je cijena koju plaćamo za udobnost koju nitko od nas nije izričito pristao platiti, ali smo svi kliknuli "prihvaćam uvjete" bez čitanja.

I onda, naravno, dolazi onaj dio gdje se svi prave da je rješenje "edukacija korisnika". Kao da je problem u tome što ljudi ne znaju prepoznati phishing e-mail. Problem nije u tome. Problem je u tome što je e-mail došao s domene kojoj bi i najobrazovaniji među nama vjerovali, jer je ta domena — državna. Kad ti netko kaže "educirajte se", to je prijevod za "nije naša krivica". A jest. Jer ako tvoja infrastruktura ne može spriječiti da se tvoje ime koristi u prevari, onda tvoja infrastruktura nije infrastruktura — to je kulisa.

Ono što slijedi je predvidivo. Regulatori će nešto najaviti. Revolut će objaviti da je "pojačao mjere". Državna institucija čija je domena korištena izdat će priopćenje u kojem se "ograđuje" i "poziva na oprez". Nitko neće dati ostavku. Nitko neće biti odgovoran. Novinari će dobiti odgovor "ne možemo komentirati u tijeku istrage". I tako u krug, dok se ne dogodi sljedeći incident, i sljedeći, i sljedeći — dok jednog dana ne shvatimo da nam cijeli digitalni život visi o nizu DNS zapisa koje nitko ne održava, i o ljudima koji ne razumiju razliku između "reject" i "none".

Ako moraš objasniti zašto tvoja domena nije alat za prevaru, vjerojatno jest.

Izvor: bloomberg.com