يُقيّم هذا التقرير حادثة طلب بيانات طوارئ احتيالية شملت شركة Revolut، حيث تم الكشف عن معلومات العملاء من خلال إساءة استخدام قناة بريد إلكتروني حكومية رسمية مشروعة بدلاً من الاختراق المباشر لأنظمة Revolut. يركز التحليل على مسار الهجوم، وفئات البيانات المكشوفة، وإخفاقات الضوابط الأمنية، وفرص الاكتشاف، والتدابير الدفاعية للمؤسسات المالية التي تتعامل مع طلبات إنفاذ القانون.

نظرة عامة

بين 11 و12 سبتمبر 2026، تعرضت شركة التقنية المالية العالمية العملاقة Revolut (التي تُقدر قيمتها بـ 115 مليار دولار وتضم أكثر من 80 مليون عميل) لحادث أمني مستهدف أدى إلى الكشف غير المصرح به عن ملفات "اعرف عميلك" (KYC) الكاملة وسجلات المعاملات المالية لـ 680 من العملاء ذوي الملاءة المالية العالية.

والأهم من ذلك، لم يتم اختراق أو التسلل إلى أي من قواعد بيانات Revolut، أو الأجهزة الطرفية، أو الأنظمة المصرفية الأساسية، أو أموال العملاء. ولم تشر التقارير العامة إلى أي اختراق مباشر للبنية التحتية المصرفية الأساسية لشركة Revolut أو أموال العملاء. وبدلاً من ذلك، انطوى الحادث على الكشف غير المصرح به عن معلومات العملاء من خلال قناة اتصال وامتثال مشروعة.

يمثل الحادث طلباً احتيالياً لبيانات الطوارئ (EDR)، وهو في الأساس هجوم على منطق الأعمال وهجوم هندسة اجتماعية ضد عملية استلام طلبات إنفاذ القانون في Revolut.

استخدم المهاجم حساب بريد إلكتروني حكومي معتمد ومشروع يخص وكالة حكومية إيطالية (pec.interno.it) لتقديم طلبات إنفاذ قانون طارئة. ونظراً لأن الطلبات الواردة اجتازت فحوصات مصادقة النطاق الفنية (SPF وDKIM وDMARC)، قام موظفو الامتثال في Revolut بتلبية الطلبات بحسن نية.

نشأت الطلبات من نطاق بريد إلكتروني حكومي مشروع، مما سمح للرسائل بالظهور بمظهر موثوق به ضمن عملية استلام طلبات إنفاذ القانون الحالية في Revolut. لا تحدد التقارير العامة نتائج SPF وDKIM وDMARC الدقيقة للرسائل الفردية، لذا لا ينبغي التعامل مع نتائج المصادقة هذه على أنها مؤكدة بشكل مستقل.

بدأ المهاجم لاحقاً حملة ابتزاز تحت اسم مستعار "Revolut Smilik"، مطالباً بـ 10,000 بيتكوين (وهو فاعل يستخدم الاسمين المستعارين 'iamnotavillain' و 'Revolut Smilik').

الجدول الزمني للحادث وإعادة البناء

الجدول الزمني للحدث

الأصول والبنية التحتية المتأثرة

تحليل اختراق البيانات

أدى الاختراق إلى تسريب ملفات تعريف هوية كاملة وغير محجوبة للعملاء.

• أنواع البيانات المكشوفة: الأسماء القانونية الكاملة، وتواريخ الميلاد، وأرقام الهواتف، والعناوين البريدية، وعناوين البريد الإلكتروني، ونسخ من جوازات السفر، ورخص القيادة، وصور السيلفي الخاصة بالتحقق من الهوية عند التسجيل، وكشوف الحسابات، وأرقام الآيبان (IBANs)، وسجلات المعاملات الكاملة (بما في ذلك عناوين محافظ إيداع وسحب البيتكوين على الشبكة).

قد تشمل المعلومات المكشوفة ما يلي:

• الأسماء الكاملة

• تواريخ الميلاد

• العناوين

• عناوين البريد الإلكتروني

• أرقام الهواتف

• نسخ من جواز السفر / وثيقة الهوية

• صور السيلفي للتحقق من الهوية

• كشوف الحسابات

• سجلات المعاملات

• معلومات الآيبان (IBAN)/الحساب

• معلومات معاملات العملات الرقمية

• قائمة المستثنيات: لم يتم الكشف عن نماذج القياسات الحيوية للوجه الخام، أو أرقام بطاقات الدفع، أو رموز التحقق (CVVs)، أو رموز التعريف الشخصي (PINs) للحسابات، أو كلمات مرور البوابة.

• عدد الضحايا: 680 فرداً بالضبط.

• ملف الضحايا: موجه بشكل كبير نحو أصحاب الأصول الرقمية ذوي الملاءة المالية العالية والتنفيذيين في مجال التكنولوجيا. وتشمل قائمة الضحايا المؤكدين الرئيس التنفيذي السابق لمنصة Mt. Gox مارك كاربيليس والرئيس التنفيذي لمنصة Gamdom فيليكس رومر.

 تحديد هوية جهة التهديد والتحليل الفني

تقييم تحديد الهوية

• المدعي: جهة/مجموعة تهديد تعمل تحت اسم "Revolut Smilik" (وكانت تستخدم سابقاً حساب تلغرام "iamnotavillain").

• طلب الفدية: 10,000 بيتكوين (ما يعادل أكثر من 600 مليون دولار أمريكي). وتجدر الإشارة إلى أن جهة التهديد طالبت علناً بحوالي 3 ملايين دولار بعملة Monero (XMR)، وفقاً لتقرير صحيفة فاينانشال تايمز. وصرحت Revolut بأنها لم تتلقَ أي اتصال مباشر أو طلب فدية مباشر من المهاجمين المزعومين.

التحليل الجنائي للبنية التحتية  

• استضافة الابتزاز: صفحة ثابتة مستضافة على GitHub Pages (btres9kijob[.]github.io) تشير إلى imnotavillain[.]xyz.

• الجدول الزمني للبناء: تم تجميعها في حوالي 6.5 ساعة في 14 سبتمبر 2026، بالكامل عبر واجهة الويب.

• الأخطاء التشغيلية (إخفاقات أمن العمليات OPSEC):

  • انكشاف البريد الإلكتروني: كشفت سجلات التعديل (Git commit logs) العامة عن بريد إلكتروني للمؤلف على Outlook.com.

  • مؤشر المنطقة الزمنية: احتوت عمليات التعديل على إزاحة بالتوقيت العالمي المنسق بقيمة (UTC-07:00).

  • استرداد الملفات: كانت الملفات المحذوفة (proof.jpg و jurisdiction.jpg و Screenshot_35.jpg) قابلة للاسترداد مباشرة من سجل تعديلات Git.

تحليل ناقل الوصول الأولي

• الهوية المخترقة: حساب بريد إلكتروني معتمد للحكومة الإيطالية (Posta Elettronica Certificata - PEC) تحت النطاق pec.interno.it (المرتبط بمحافظة ريدجو كالابريا).

• السياق: في يونيو 2026، أبلغ مركز CERT-AgID الإيطالي عن سرقة واسعة النطاق لبيانات الاعتماد عبر برمجيات سرقة المعلومات (infostealer) طالت أكثر من 650 حساب PEC.

تخطيط إطار MITRE ATT&CK

إعادة بناء سلسلة الهجوم

                                   │

                                   ▼

 [المرحلة 1: اختراق البنية التحتية للمصدر]

 المهاجم يسيطر على صندوق بريد PEC حكومي إيطالي صالح (pec.interno.it)

 عبر سجلات برمجيات سرقة المعلومات أو أسواق بيانات الاعتماد الثانوية.

                                   │

                                   ▼

 [المرحلة 2: الاستطلاع واختيار الأهداف]

 المهاجم يجمع قائمة تضم 680 من مستخدمي العملات الرقمية ذوي الملاءة العالية، ويحصل على معرّفات

 أهداف محددة (مثل أسماء المستهدفين، عناوين المحافظ، أرقام الآيبان).

                                   │

                                   ▼

 [المرحلة 3: تزييف وإرسال طلبات بيانات الطوارئ EDR]

 المهاجم يصيغ طلبات بيانات طوارئ بترويسات قانونية عاجلة ومزيفة

 ويرسلها عبر صندوق بريد PEC المعتمد إلى الفريق القانوني في Revolut.

                                   │

                                   ▼

 [المرحلة 4: استلام طلب الامتثال وتجاوز التحقق]

 الأنظمة المؤتمتة في Revolut تتحقق من SPF/DKIM/DMARC -> ناجح.

 الموظفون يجرون مراجعة يدوية، ويلاحظون النطاق المشروع، ويتجاوزون التحقق الخارجي (OOB).

                                   │

                                   ▼

 [المرحلة 5: تجميع الملفات والكشف عنها]

 مسؤول الامتثال يستخرج سجلات اعرف عميلك (جوازات سفر، صور سيلفي، سجلات المعاملات)

 ويرد مباشرة على البريد الإلكتروني للمرسل.

                                   │

                                   ▼

 [المرحلة 6: الابتزاز والنشر العلني]

 المهاجم ينشئ موقع ابتزاز (imnotavillain[.]xyz)، ويسرب عينات من الملفات،

 ويطالب بـ 10,000 بيتكوين.

ثغرات غير معتادة فنياً ولم تحظَ بالنقاش الكافي

• مغالطة اعتبار مصادقة النطاق بمثابة تفويض بالوصول

  تؤكد بروتوكولات مصادقة البريد الإلكتروني (SPF، DKIM، DMARC) أن الرسالة نشأت من خادم معتمد لنطاق معين. لكنها لا تقدم أي ضمانات بشأن هوية أو نية المستخدم البشري خلف لوحة المفاتيح. اعتمدت ضوابط الاستلام في Revolut على الصلاحية الفنية للنطاق كبديل للسلطة القانونية.

• ثغرة معمارية في نظام PEC

  يوفر نظام البريد الإلكتروني المعتمد في إيطاليا (Posta Elettronica Certificata - PEC) إثباتاً قانونياً للإرسال والاستلام. ومع ذلك، فإنه يفتقر إلى المصادقة متعددة العوامل (MFA) الإلزامية أو ضوابط ربط الجلسات عبر جميع العقد البلدية الإقليمية. عندما يحصل المهاجم على بيانات اعتماد PEC، فإنه يرث مصداقية قانونية مطلقة عبر الأطر القانونية الأوروبية.

• التسريب عبر قنوات الامتثال المعتمدة

  تُهيأ أنظمة الكشف عن التهديدات والاستجابة لها في الأجهزة الطرفية التقليدية (EDR)، ومنع فقدان البيانات (DLP)، وتحليل سلوك المستخدمين والكيانات (UEBA) للكشف عن تسريب الشبكة غير المصرح به، أو سحب قواعد البيانات، أو بروتوكولات التحكم غير المعروفة. في هذه الحالة، حدث التسريب عبر البريد الإلكتروني العادي للشركة، وبواسطة موظفي الامتثال المعتمدين الذين يؤدون واجباتهم الروتينية، مما جعل الأنظمة الأمنية الفنية عمياء تماماً عن الحدث.

• ملفات اعرف عميلك (KYC) كـ "ملفات استهداف مادي تكتيكي": بالنسبة لمستثمري العملات الرقمية، فإن ربط عناوين الإيداع المستعارة على الشبكة بالعناوين السكنية الحقيقية وأرقام جوازات السفر وأرقام الهواتف يزيد من مخاطر الأمن المادي (مثل اقتحام المنازل، والابتزاز لتحويل الأموال قسراً، وتبديل شرائح الهاتف SIM).

الظروف المسهلة للمهاجمين

• نقطة وصول موثقة: حيازة بيانات اعتماد نشطة لنطاق حكومي صالح (pec.interno.it).

• غياب التحقق الخارجي (OOB): تلبية طلبات البيانات شديدة الحساسية دون إجراء مكالمات تحقق هاتفية مستقلة باستخدام أرقام أدلة حكومية رسمية ومستخرجة من مصادر مستقلة.

• ثغرة الموافقة من مسؤول واحد: عدم وجود متطلبات موافقة ثنائية ("مبدأ العيون الأربع") قبل تصدير وإرسال حزم اعرف عميلك (KYC) الكاملة للعملاء.

إخفاقات الضوابط والدفاعات

• فشل ضوابط الهوية والتحقق: قامت الأنظمة المؤتمتة بالتحقق من ترويسات النطاق، ولكن لم يتم فرض أي تحقق ثانوي لإثبات تفويض المرسل البشري.

• عجز في الحد من البيانات: عند قبول الطلب الطارئ، قام موظفو الامتثال بتصدير سجلات المعاملات الكاملة وأرقام الآيبان وصور السيلفي. يجب أن يقتصر الكشف في حالات الطوارئ بدقة على الحد الأدنى من السجلات الضرورية.

• فجوة في نظام SIEM / كشف الأنماط الشاذة: لا تراقب مراكز العمليات الأمنية عادةً طوابير استلام طلبات الامتثال بحثاً عن أي طفرات غير طبيعية في أحجام طلبات EDR التي تستهدف مجموعات معينة من المستخدمين ذوي الملاءة المالية العالية.

 فرص الاكتشاف ومتطلبات القياس عن بعد

الآثار الأمنية الأوسع نطاقاً

• الاستغلال المنهجي لآلية طلب بيانات الطوارئ (EDR): يتوافق هذا الحادث مع التحذيرات الصادرة في إشعار الصناعة الخاص بمكتب التحقيقات الفيدرالي (FBI) رقم 20241104-001، والذي يسلط الضوء على أن جهات التهديد تستولي بانتظام على صناديق البريد الحكومية لإصدار مذكرات استدعاء وطلبات طوارئ احتيالية.

• تقادم أمن البريد الإلكتروني المرتكز على المحيط: يعتمد أمن البريد الإلكتروني التقليدي على شرعية النطاق. يجب أن تنتقل البنى الأمنية نحو نماذج استلام قائمة على الثقة الصفرية حيث لا تحمل صلاحية النطاق أي ثقة تفويض ضمنية.

خطة العمل الدفاعية القابلة للتطبيق

الإجراءات الفورية (0-30 يوماً)

• التحقق الخارجي الإلزامي (OOB): حظر تلبية طلبات بيانات الطوارئ عبر البريد الإلكتروني فقط. يجب على مسؤولي الامتثال التحقق من الطلبات عن طريق الاتصال بالوكالة المعنية عبر أرقام البدالات الرسمية والمستخرجة بشكل مستقل.

• تفويض التحكم الثنائي ("مبدأ العيون الأربع"): طلب موافقة ثانوية من المشرف قبل إرسال ملفات اعرف عميلك الخام، أو سجلات المعاملات، أو وثائق الهوية.

الإجراءات على المدى القريب (30-90 يوماً)

• تقييد DLP على البريد الإلكتروني الصادر للامتثال: تكوين قواعد DLP لمنع الإرسال المباشر لحزم وثائق الهوية غير المشفرة (ملفات .pdf، .png، .jpg التي تحتوي على كلمات مفتاحية تتعلق بالهوية). تطلب تسليم البيانات عبر بوابات تنزيل آمنة ومعتمدة مع تسجيل عمليات التدقيق.

• فلاتر دقيقة للحد من البيانات: وضع حدود دنيا لحزم الاستجابة لطلبات EDR. تطبيق سياسات كشف دقيقة لا تفرج إلا عن الحد الأدنى من البيانات اللازمة للأساس القانوني المؤكد والغرض الطارئ المعلن. يجب أن يتطلب إرسال سجلات المعاملات الكاملة ووثائق الهوية الحساسة تفويضاً إضافياً وتبريراً موثقاً حيثما كان ذلك مسموحاً به قانوناً.

الإجراءات الاستراتيجية (أكثر من 90 يوماً)

• الانتقال إلى بوابات معتمدة لطلبات إنفاذ القانون (LER): إلغاء الاستلام المباشر للطلبات القانونية عبر البريد الإلكتروني. الانتقال إلى بنية بوابات معتمدة تتطلب التحقق من هوية وكالة إنفاذ القانون والتوقيع الرقمي.

مصادقة مقدم الطلب

التحقق من:

• الوكالة

• المحقق الفردي

• الصفة الرسمية

• رقم القضية/المرجع

• السلطة القانونية

• مبرر حالة الطوارئ

• نطاق البيانات المطلوبة

• آلية التسليم المطلوبة

عندها فقط تتم الموافقة على الكشف عن البيانات.

المصادر

• Financial Times: "Revolut سلمت بيانات ما يقرب من 700 عميل إلى مخترقين" (16 سبتمبر 2026).

• KELA Cyber Intelligence Center: "اختراق بيانات Revolut: تتبع البنية التحتية لموقع الابتزاز" (15 سبتمبر 2026).

• City AM: "مخترقو Revolut يسرقون البيانات الخاصة لما يقرب من 700 عميل" (15 سبتمبر 2026).

• Security Affairs: "تسريب بيانات Revolut قد يعود إلى حسابات مخترقة للحكومة الإيطالية" (16 سبتمبر 2026).

• إشعار الصناعة الخاص بمكتب التحقيقات الفيدرالي: PIN 20241104-001 (استخدام حسابات بريد إلكتروني حكومية مخترقة لإصدار طلبات بيانات طوارئ احتيالية).

• ZachXBT Public Disclosures: التحقيق على الشبكة وظهور إشعار الاختراق (12 سبتمبر 2026).

تقييم Shieldworkz

• ما نعرفه: قام موظفو الامتثال في Revolut بنشر ملفات هوية كاملة لـ 680 من العملاء ذوي القيمة العالية بعد تلقي طلبات EDR احتيالية من صندوق بريد حكومي إيطالي معتمد (pec.interno.it). ولم يتم اختراق الشبكات المصرفية الأساسية لـ Revolut مطلقاً.

• ما نرجح معرفته: حدد المهاجم مسبقاً أهدافاً محددة من ذوي الملاءة المالية العالية بناءً على قياسات سابقة على الشبكة، مستخدماً آلية EDR لكشف الهويات الحقيقية خلف عناوين العملات الرقمية المستعارة.

• ما يزال غير مؤكد: الهوية الدقيقة لجهات التهديد خلف اسم "Revolut Smilik"، وما إذا كانت مؤسسات مالية أخرى خاضعة للتنظيم قد تلقت طلبات مماثلة من نفس صندوق بريد PEC المخترق.

• المصادقة التشفيرية للبريد الإلكتروني ليست آلية تفويض بالوصول. يمكن لبروتوكولات SPF وDKIM وDMARC تقديم دليل على أن الرسالة مرتبطة بنطاق معتمد أو بنية تحتية مرسلة، لكنها لا تثبت أن الفرد الذي يشغل صندوق البريد مفوض لإصدار طلب قانوني، أو أن صندوق البريد لم يتم اختراقه، أو أن طلب الكشف عن البيانات مشروع وصالح.

توضح حادثة Revolut أنه يجب التعامل مع تدفقات العمل القانونية والامتثال والثقة كجزء من مساحة الهجوم الخاصة بالمؤسسة. لا يحتاج المهاجم دائماً إلى اختراق قاعدة بيانات عندما يمكن حث المؤسسة نفسها على استخراج محتويات قاعدة البيانات والكشف عنها من خلال عملية موثوقة.

 الهجوم السيبراني المزعوم والتحقيق الأمريكي بشأن ناقلة النفط العملاقة VL Prosperity

دليل Shieldworkz التنظيمي

أدلة معالجة الثغرات من Shieldworkz