Revolut Sahte Resmi İstekle Aldatıldı: 50 Bin Kullanıcının Pasaport Verisi Sızdı, Kripto Güvenliği İçin Dersler

Eylül 2022 tarihinde yaşanan ve Lithuanian bankacılık regülatörü ile İngiltere Bilgi Komiserliği (ICO) araştırmalarını tetikleyen olay, bir hırsızlık girişimi değil, yüksek derecede hedefli bir "sosyal mühendislik" saldırısıydı. Saldırganlar, yasal işbirliği çerçevesinde veri isteği gönderme yetkisine sahip bir devlet otoritesi kimliğine bürünerek Revolut'un yasal uyum ekibine resmi görünümlü bir mektup ulaştırdı.

Sahte mektup nasıl geçti kontrol mekanizmalarından?

Saldırganlar, "Karşılıklı Yasal Yardım Anlaşması" (MLAT) kapsamında bir soruşturma başlatıldığını öne sürerek, belirli kullanıcıların kimlik doğrulama (KYC) belgelerini istedi. Revolut'un o dönemdeki dahili prosedürleri, gelen isteğin resmi kanallar üzerinden (örneğin Interpol veya resmi diplomatık kanallar) doğrulanması yerine, mektubun başlığı ve referans numaraları gibi yüzeydeki formaliteye dayanarak ilerlemişti. Bu işlem sırasında yaklaşık 50.150 kullanıcı etkilenmiş, bunların tam adı, adresi, e-posta, telefon numarası ve kısmi kart verilerinin yanı sıra pasaport fotokopileri ve selfie çekimleri de saldırganların eline geçmişti.

Para kaybı yok, ama kimlik hırsızlığı riski kalıcı

Revolut resmi açıklamasında, hiçbir kullanıcının para kaybı yaşamadığını, kart verilerinin tam PAN (kart numarası) ve CVV kodları içermediğini vurgulasa da, sızdırılan KYC verileri (pasaport, selfie, adres) kara piyasada "Fullz" (tam kimlik paketleri) olarak satılmak üzere en değerli veri türüdür. Bu verilerle banka hesabı açma, kredi çekme veya kripto borsalarında KYC atlatma (deepfake ile) gibi uzun vadeli dolandırıcılık riskleri doğar. Olaydan sonra Revolut, yasal istek doğrulama süreçlerini merkezi bir güvenlik operasyon merkezi (SOC) altına alarak, herhangi bir resmi talebin birden fazla kanalle (diplomatık posta, resmi portal, telefonik doğrulama) teyit edilmesini zorunlu kıldı.

Regülatör cezası ve sektörel etki

Litvanya Bankası, 2024 yılında bu ihlal ve genel AML (Kara Para Aklama) kontrollerindeki eksiklikler nedeniyle Revolut Payments UAB'ye 3,5 milyon avro idari para cezası kesmişti. Bu ceza, fintech'lerin banka lisansı almasıyla birlikte gelen "koruma yükümlülüğünün" sadece siber saldırılara değil, prosedürel hilelere de karşı geçerli olduğunu gösterdi. Kripto borsaları ve Web3 platformları için olay; merkezi kimlik doğrulama (KYC) depolarının tek hata noktası (Single Point of Failure) riskini taşıdığını ve sıfır güven (Zero Trust) mimarisinin sadece teknik altyapıda değil, yasal/operasyonel süreçlerde de uygulanması gerektiğini hatırlattı.