Efter uppgifter om att Revolut lämnat ut känsliga kunduppgifter till en obehörig aktör varnar Acronis för en växande säkerhetsrisk. Angripare behöver inte längre förfalska avsändare eller domäner. Genom att utnyttja legitima och betrodda identiteter kan de skicka förfrågningar som tekniskt sett ser korrekta ut. Ändå är förfrågningarna bedrägliga.
Under helgen kom det fram att Revolut hade lämnat ut känsliga kunduppgifter till en obehörig tredje part. Angriparna fick bland annat tillgång till passuppgifter, verifieringsselfies och information om tidigare transaktioner. De hade då skickat en påstått legitim myndighetsförfrågan via en riktig myndighetsdomän.
Santiago Pontiroli, Threat Intelligence Research Lead vid Acronis Threat Research Unit (TRU), kommenterar incidenten och pekar på en viktig förändring i hur organisationer behöver bedöma tillförlitligheten i inkommande e-post och förfrågningar. 
Legitima avsändare kan missbrukas
Enligt Pontiroli är den centrala lärdomen från incidenten att angripare i allt högre grad missbrukar betrodda identiteter och legitima processer i stället för att enbart imitera dem.
Om en angripare exempelvis tar över ett konto hos en myndighet kan en skadlig förfrågan klara vanliga autentiseringskontroller för e-post.
SPF bekräftar att en auktoriserad infrastruktur har skickat meddelandet. DKIM verifierar meddelandets kryptografiska signatur och integritet. DMARC styr domänens autentiseringspolicy och anger hur systemen ska hantera misslyckade autentiseringar.
Problemet är att dessa tekniker i första hand kan visa att ett e-postmeddelande är autentiskt. De kan inte avgöra om avsändaren bakom ett autentiserat konto faktiskt har legitima avsikter.
Organisationer behöver verifiera själva förfrågan
När en organisation får en begäran om känsliga uppgifter bör den därför inte enbart lita på teknisk e-postautentisering.
Acronis rekommenderar att organisationer även använder kontrollmekanismer som en angripare inte automatiskt får tillgång till genom att kompromettera ett konto.
Det kan exempelvis handla om oberoende verifierade kontaktuppgifter, kontroll av det aktuella ärendet, jämförelser med tidigare förfrågningsmönster och en mer noggrann granskning av ovanligt omfattande eller särskilt brådskande förfrågningar.
Det innebär i praktiken att organisationer behöver verifiera både vem som skickar en förfrågan och om själva förfrågan är legitim.
SPF, DKIM och DMARC är inte tillräckliga på egen hand
SPF, DKIM och DMARC är fortsatt viktiga komponenter i organisationers e-postsäkerhet. De kan hjälpa till att avgöra om ett meddelande kommer från den infrastruktur och domän som det utger sig för att komma från.
Men en korrekt autentiserad e-postadress är inte samma sak som en legitim begäran.
När angripare tar kontroll över verkliga konton och betrodda digitala identiteter ändrar det därför hotbilden. Organisationer måste då komplettera sina säkerhetskontroller med nya processer. Processerna verifierar sammanhang, behörighet och syftet bakom förfrågningar om känsliga uppgifter.
Om Acronis
Acronis är ett globalt cybersäkerhetsföretag som erbjuder en integrerad plattform för cybersäkerhet, dataskydd och infrastrukturhantering för Managed Service Providers och IT-avdelningar.
Företaget utvecklar sina lösningar för att hjälpa organisationer på flera sätt. Lösningarna ska identifiera och skydda IT-miljöer, upptäcka och hantera hot samt återställa data och system. Målet är att säkerställa dataintegritet och verksamhetskontinuitet.
Acronis startade 2003 i Singapore och är i dag ett schweiziskt företag med global verksamhet. Enligt bolaget använder fler än 21 000 tjänsteleverantörer Acronis Cyber Platform för att skydda över 750 000 företag.
