Η γνωστοποίηση στην Επίτροπο Προστασίας Δεδομένων, η παρακολούθηση από την ΕΚΚ στη βάση του DORA και οι διευκρινίσεις της Αρχής Ψηφιακής Ασφάλειας στο Economy Today.

Σε τρεις κυπριακούς θεσμούς που θα μπορούσαν να έχουν εμπλοκή στην υπόθεση διαρροής δεδομένων της Revolut απευθύνθηκε το Economy Today, επιχειρώντας να ξεκαθαρίσει τι γνωρίζουν οι Αρχές στην Κύπρο και κατά πόσο έχουν επηρεαστεί πελάτες στη χώρα μας.

Από τις απαντήσεις προκύπτει ότι το περιστατικό έχει γνωστοποιηθεί επίσημα στην Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, παρακολουθείται από την Επιτροπή Κεφαλαιαγοράς Κύπρου στη βάση του Κανονισμού DORA, ενώ η Αρχή Ψηφιακής Ασφάλειας βρίσκεται σε επικοινωνία με την Αρχή Προστασίας Δεδομένων.

Το βασικό ερώτημα, ωστόσο, παραμένει αναπάντητο: εάν ανάμεσα στους περίπου 680 επηρεαζόμενους πελάτες της Revolut περιλαμβάνονται κάτοικοι Κύπρου. Η ίδια η εταιρεία αναφέρει ότι διαθέτει περίπου 450.000 πελάτες στην Κύπρο.

Ενώπιον της Επιτρόπου Προστασίας Δεδομένων

Η πιο συγκεκριμένη ενημέρωση προήλθε από την Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, Μαρία Χριστοφίδου.

Όπως δήλωσε στην Μαρία Καραΐσκου και στο Economy Today, η Revolut προχώρησε σε επίσημη γνωστοποίηση του περιστατικού στην Αρχή, ενώ ενημέρωσε και τα επηρεαζόμενα πρόσωπα τόσο για την παραβίαση όσο και για τα βήματα στα οποία πρέπει να προβούν.

«Η γνωστοποίηση τυγχάνει αξιολόγησης από την Αρχή στο πλαίσιο των αρμοδιοτήτων της», ανέφερε η κ. Χριστοφίδου.

Από την τοποθέτηση της Επιτρόπου δεν προκύπτει, πάντως, πόσοι πελάτες στην Κύπρο έχουν επηρεαστεί ή εάν υπάρχουν Κύπριοι ανάμεσα στα πρόσωπα που ενημερώθηκαν από τη Revolut.

Η απάντηση της Επιτροπής Κεφαλαιαγοράς

Το Economy Today υπέβαλε σχετικά ερωτήματα και στην Επιτροπή Κεφαλαιαγοράς Κύπρου, δεδομένου ότι η Revolut Digital Assets Europe Ltd είναι αδειοδοτημένη και εποπτευόμενη από την ΕΚΚ για την παροχή υπηρεσιών κρυπτοστοιχείων.

Στην τοποθέτησή της προς το Economy Today, η Επιτροπή ανέφερε:

«Η ΕΚΚ είναι ενήμερη για το θέμα και το παρακολουθεί στη βάση του Κανονισμού DORA».

Ο DORA αποτελεί το ευρωπαϊκό πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοπιστωτικού τομέα και περιλαμβάνει, μεταξύ άλλων, απαιτήσεις για τη διαχείριση ψηφιακών κινδύνων και περιστατικών που σχετίζονται με τεχνολογίες πληροφορικής και επικοινωνιών.

Η απάντηση της ΕΚΚ δεν επεκτείνεται στο κατά πόσο η υπόθεση αφορά άμεσα την αδειοδοτημένη στην Κύπρο εταιρεία του ομίλου ούτε παρέχει στοιχεία για ενδεχόμενους επηρεαζόμενους πελάτες στην Κύπρο.

Εκτός αρμοδιότητας της Αρχής Ψηφιακής Ασφάλειας

Διαφορετική είναι η διάσταση που αφορά την Αρχή Ψηφιακής Ασφάλειας. Ο Βοηθός Επίτροπος Επικοινωνιών, Γιώργος Γεωργίου, διευκρίνισε στο Economy Today ότι, με βάση τα δεδομένα που υπάρχουν μέχρι στιγμής, το περιστατικό δεν εμπίπτει στο πεδίο αρμοδιοτήτων της Αρχής.

Η Revolut δεν περιλαμβάνεται στις οντότητες που εποπτεύονται από την Αρχή Ψηφιακής Ασφάλειας στο πλαίσιο της Οδηγίας NIS2, ενώ δεν υπάρχουν ενδείξεις ότι παραβιάστηκαν τα συστήματα της εταιρείας.

«Δεν συγκαταλέγεται στις παραβιάσεις κρίσιμων υποδομών του κράτους ή κυβερνοεπιθέσεις», ανέφερε ο κ. Γεωργίου, εξηγώντας ότι πρόκειται για έκθεση και μη εξουσιοδοτημένη χρήση προσωπικών δεδομένων.

Παρά το γεγονός ότι το περιστατικό δεν εμπίπτει, επί του παρόντος, στις αρμοδιότητές της, η Αρχή Ψηφιακής Ασφάλειας παρακολουθεί την υπόθεση και βρίσκεται σε επικοινωνία με την Αρχή Προστασίας Δεδομένων. Όπως εξήγησε ο κ. Γεωργίου, παρέμβαση της Αρχής θα μπορούσε να προκύψει εάν η υπόθεση αποκτούσε ευρύτερες διαστάσεις και επηρέαζε την κυβερνοασφάλεια του κράτους ή συστημικής τράπεζας στην Κύπρο. Μέχρι στιγμής δεν υπάρχει τέτοια ένδειξη.

ΔΙΑΒΑΣΤΕ ΑΚΟΜΑ

Revolut: Σε επικοινωνία οι Αρχές Ψηφιακής Ασφάλειας και Προστασίας Δεδομένων – Άγνωστο αν επηρεάστηκε η Κύπρος

Πώς έγινε η διαρροή

Υπενθυμίζουμε ότι η Revolut επιβεβαίωσε στις 12 Σεπτεμβρίου ότι ευαίσθητα δεδομένα πελατών γνωστοποιήθηκαν σε μη εξουσιοδοτημένο τρίτο μέρος. Σύμφωνα με την εταιρεία, απατηλά αιτήματα για πληροφορίες υποβλήθηκαν μέσω ηλεκτρονικής διεύθυνσης που ανήκε σε πραγματικό domain κρατικής υπηρεσίας.

Δημοσιεύματα των Financial Times και άλλων διεθνών μέσων συνδέουν την υπόθεση με παραβιασμένο σύστημα ηλεκτρονικού ταχυδρομείου ιταλικής κρατικής υπηρεσίας. Οι δράστες φέρονται να παρουσιάστηκαν ως μέλη των ιταλικών διωκτικών Αρχών και να ζήτησαν στοιχεία πελατών στο πλαίσιο υποτιθέμενων ερευνών.

Στα δεδομένα που ενδέχεται να εκτέθηκαν περιλαμβάνονται ονόματα, ημερομηνίες γέννησης, διευθύνσεις, τηλέφωνα, αντίγραφα διαβατηρίων και αδειών οδήγησης, φωτογραφίες ταυτοποίησης, αριθμοί IBAN, καταστάσεις λογαριασμών και ιστορικό συναλλαγών, περιλαμβανομένων συναλλαγών σε Bitcoin.

Σύμφωνα με το Reuters, δεν παραβιάστηκαν η βασική υποδομή, οι βάσεις δεδομένων ή οι λογαριασμοί της Revolut. Η εταιρεία έχει επίσης αναφέρει ότι τα χρήματα των πελατών δεν επηρεάστηκαν.

Τα λύτρα των 3 εκατ. δολαρίων

Η ομάδα που ανέλαβε την ευθύνη και χρησιμοποιεί την ονομασία «iamnotavillain» φέρεται να απαίτησε από τη Revolut λύτρα ύψους 3 εκατ. δολαρίων σε κρυπτονόμισμα Monero.

Οι δράστες απείλησαν ότι, εάν δεν καταβαλλόταν το ποσό εντός 24 ωρών, θα πωλούσαν τα προσωπικά και οικονομικά δεδομένα των πελατών σε άλλες εγκληματικές ομάδες. Η Revolut δήλωσε ότι δεν είχε λάβει απευθείας επικοινωνία ή απαίτηση για λύτρα από τα πρόσωπα που διατύπωσαν τους συγκεκριμένους ισχυρισμούς.

Η αλυσίδα που προκάλεσε εντύπωση

Το στοιχείο που προκάλεσε ιδιαίτερη εντύπωση διεθνώς είναι ότι, με βάση όσα έχουν γίνει γνωστά, δεν επρόκειτο για μια συνηθισμένη απευθείας επίθεση στα πληροφοριακά συστήματα ενός χρηματοπιστωτικού οργανισμού.

Σύμφωνα με τα ξένα δημοσιεύματα, οι δράστες κατάφεραν πρώτα να παραβιάσουν ένα επίσημο κανάλι επικοινωνίας του ιταλικού κράτους και στη συνέχεια, αξιοποιώντας την αξιοπιστία του κρατικού domain, να πείσουν έναν μεγάλο οργανισμό όπως η Revolut ότι τα αιτήματα για παράδοση στοιχείων ήταν αυθεντικά.

ΔΙΑΒΑΣΤΕ ΑΚΟΜΑ

Διαρροή δεδομένων Revolut: Στο μικροσκόπιο της Αρχής Προστασίας Δεδομένων για παραβιάσεις στην Κύπρο