När organisationer tänker på dataintrång riktas ofta uppmärksamheten mot angripare som utnyttjar sårbarheter, stjäl inloggningsuppgifter eller skaffar sig tillgång till ett nätverk. Den senaste händelsen hos Revolut belyser en annan väg: att övertyga en organisation att lämna ut information genom en till synes legitim begäran.

Enligt rapporterna fick en obehörig tredje part tillgång till kundinformation genom att skicka bedrägliga förfrågningar från en e-postadress kopplad till en äkta myndighetsdomän. Revolut uppgav att deras system och kundernas medel inte hade påverkats. De kundmeddelanden som beskrivs i rapporten visade att identitetshandlingar, verifieringsselfies och finansiella uppgifter fanns bland den information som läckt ut.

Incidenten illustrerar varför dataskydd och cybersäkerhet inte kan behandlas som helt skilda saker. Tekniken kanske fungerar precis som den är tänkt. Sårbarheten kan ändå ligga i det beslut som någon fattar när en förfrågan verkar legitim.

En förfrågan som ser officiell ut måste ändå kontrolleras

Att en förfrågan verkar komma från en myndighet bör aldrig undanta den från behovet av oberoende verifiering. Förfrågningar om känslig information förtjänar noggrann granskning även när de verkar komma från en myndighet, tillsynsmyndighet eller bekant tredje part, vilket framgår av vår CTO Richard Fords kommentarer till Sync NI.

En trovärdig e-postadress är bara en uppgift. Den bevisar inte om personen som använder den har rätt att ta del av vissa uppgifter, om syftet är äkta eller om mängden begärd information är rimlig.

Den offentliga rapporteringen ger inte tillräckligt med detaljer för att bedöma varje steg i Revoluts interna process. Organisationer kan dock använda denna händelse för att granska sina egna rutiner. Om en förfrågan som ser officiell ut skulle komma in i morgon, vad skulle hända innan någon lämnade ut kundinformation? Skulle kontrollerna vara tydliga och konsekventa, eller skulle de bero på att en enskild person bedömde att något kändes fel?

Denna distinktion är viktig eftersom övertygande förfrågningar är utformade för att undvika att väcka misstankar.

Utlämnande av data är ett säkerhetsbeslut

En anställd kan autentisera sig på ett säkert sätt, öppna en fil som hen har behörighet att komma åt och dela den via en godkänd plattform, men ändå lämna ut information till fel person.

Åtkomstkontroller fastställer vad en anställd kan göra inom ett system. De avgör inte nödvändigtvis om en viss affärshandling är motiverad. Det kräver sammanhang: syftet med förfrågan, mottagarens behörighet och den information som behövs för att uppfylla den.

Det är här säkerhets-, dataskydds- och driftsteamen behöver en gemensam process. Tillsammans bör de definiera vem som kan godkänna utlämnanden, hur känsliga uppgifter kan delas och vilka bevis som måste sparas.

En policy som säger att kundinformation måste skyddas måste omsättas i praktiska beslut och systemkontroller. Annars lämnas medarbetarna att själva tolka kravet samtidigt som de hanterar en inkorg full av konkurrerande krav.

Verifieringen bör sträcka sig utöver betalningar

Verifieringsrutinerna bör omfatta såväl förfrågningar om känsliga uppgifter som finansiella transaktioner. En till synes trovärdig källa bör inte räcka för att godkänna ett utlämnande.

I praktiken innebär oberoende verifiering att man använder en kontaktväg som är separat från det inkommande meddelandet. Att svara på samma e-postmeddelande eller ringa ett nummer som anges i det utgör inte en oberoende kontroll.

Processen bör ge svar på flera frågor:

• Vem gör begäran, och hur har personens identitet verifierats?
• Vad styrker personens behörighet att ta emot denna information?
• Är de begärda uppgifterna nödvändiga för det angivna syftet?
• Vem måste godkänna att uppgifterna lämnas ut?
• Vart ska osäkerheter eller undantag eskaleras?

Organisationer bör också göra resultatet av dessa kontroller synligt för den person som lämnar ut uppgifterna. Att dokumentera ett godkännande, dess omfattning och den verifierade mottagaren bidrar till att förhindra att en ursprungligen giltig begäran utvecklas till ett olämpligt utlämnande.

Medvetenheten måste spegla verkliga beslut

Angripare kan utnyttja auktoritet, brådskande situationer och relevant sammanhang för att göra förfrågningar övertygande. Medvetenhetsträning måste hjälpa medarbetarna att känna igen sådana påtryckningar och ifrågasätta dem, särskilt när ett meddelande verkar passa in i en befintlig affärsrelation.

En användbar övning är att gå igenom en realistisk begäran om utlämnande tillsammans med de team som skulle hantera den. Vart skulle den skickas? Vem skulle bedöma den? Vad händer om den vanliga godkännaren inte är tillgänglig? Kan en medarbetare pausa begäran utan att ifrågasättas för att ha fördröjt ett svar?

Sådana diskussioner kan avslöja svagheter som en skriftlig policy inte täcker. De ger också personalen en möjlighet att öva på beslut innan de ställs inför dem under press.

Ansvaret kan inte vila helt och hållet på den som läser meddelandet. Cheferna måste stödja verifieringen, samtidigt som arbetsflödena bör göra det enkelt att genomföra kontroller och svårt att kringgå dem. Ytterligare godkännande för känsliga uppgifter, begränsningar av massutförsel och övervakning av ovanlig delning kan ge ytterligare skydd.

Konsekvenserna kan kvarstå långt efter incidenten

Stulna personuppgifter kan behålla sitt värde långt efter den ursprungliga utlämningen och därmed underlätta bedrägerier och allt mer övertygande phishing-försök. Uppgifter som erhållits vid en incident kan ge ett senare tillvägagångssätt tillräcklig trovärdighet för att övertyga någon att dela ytterligare information.

Därför är omfattningen av varje utlämnande viktig. Inte ens en verifierad begäran bör automatiskt leda till att en fullständig kundpost delas. Organisationer bör fastställa exakt vad som behövs och begränsa utlämnandet därefter.

Incidentplaneringen bör också koppla samman säkerhets- och dataskyddsteamen redan från början. Anställda behöver en tydlig rapporteringsväg, medan de som utreder måste fastställa vad som har delats, med vem och om ytterligare läckor kan förhindras.

Skydda både beslutet och uppgifterna

Integrity360 hanterar cybersäkerhet ur ett helhetsperspektiv som omfattar människor, processer och teknik, eftersom skyddet av information är beroende av att alla tre delarna samverkar.

Den praktiska lärdomen är att granska den punkt där någon beslutar sig för att lita på en begäran. Stark autentisering och säkra system är fortfarande avgörande, men de måste stödjas av tydliga godkännandevägar, proportionerlig verifiering och medarbetare som känner sig trygga med att ställa frågor.

Organisationer bör kunna förklara varför information lämnades ut, vem som godkände det och hur mottagaren verifierades. Att bygga in dessa kontroller i det dagliga arbetet förenar dataskydd och cybersäkerhet där det verkligen spelar roll: innan känslig information lämnar organisationen.

Kontakta Integrity360 för att stärka ert arbete med att skydda känslig information och hantera risker kopplade till social manipulation.