جعلی حکومتی درخواستوں کے ذریعے ریوولیوٹ صارفین کے ڈیٹا پر ڈاکا، سائبر سیکیورٹی ڈرامہ بیدار

ڈیجیٹل بینکنگ کے عالمی ادارے 'ریوولیوٹ' (Revolut) نے ایک ہدف بنائے گئے ڈیٹا برینچ کی تصدیق کی ہے، جس میں سائبر مجرموں نے قانون نافذ کرنے والے اداروں کی جعلی اور جعل ساز درخواستوں کا استعمال کرتے ہوئے کسٹمرز کی حساس معلومات حاصل کر لیں۔ لندن میں قائم اس فن ٹیک کمپنی نے اندرونی سیکیورٹی تحقیقات کے بعد متاثرہ صارفین، مالیاتی ریگولیٹرز اور قانون نافذ کرنے والے اداروں کو آگاہ کر دیا ہے۔

جعلی سمن اور ہنگامی درخواستوں کا طریقہ کار

ریوولیوٹ کے خلاف استعمال ہونے والا یہ طریقہ کار جدید فنانشل ٹیکنالوجی کی ایک بڑی کمزوری کو ظاہر کرتا ہے: یعنی 'لا انفورسمنٹ ریکوئسٹس' (LERs) اور ہنگامی ڈیٹا درخواستوں کا غلط استعمال۔ عام قانونی عمل کے تحت، قانون نافذ کرنے والے ادارے مجرمانہ تحقیقات کے لیے بینکوں کو سرکاری آرڈر جاری کرتے ہیں۔ تاہم، ہیکرز اب پولیس کے رسمی ای میل ڈومینز پر قبضہ کر کے یا جعلی قانونی دستاویزات تیار کر کے بینکوں کے کمپلائنس آفیسرز کو دھوکہ دے رہے ہیں۔

جب کوئی جعل ساز درخواست کسی سنگین جرم یا اغوا جیسے ہنگامی کیس کا بہانہ بنا کر بینک کے سسٹم میں داخل کی جاتی ہے، تو اندرونی نظام اکثر معلومات کی فراہمی کو تیز تر کر دیتا ہے۔ سائبر مجرم اسی جلدی اور قانونی دستاویزات کا فائدہ اٹھا کر ڈیٹا بیس پر براہ راست حملہ کیے بغیر معلومات نکال لیتے ہیں۔

عالمگیر سطح پر 45 ملین سے زائد صارفین کو خدمات فراہم کرنے والے ادارے ریوولیوٹ نے ایک معمول کے سیکیورٹی آڈٹ کے دوران اس بے ضابطگی کو پکڑا۔ اگرچہ کمپنی نے متاثرہ راستوں کو فوری بند کر دیا، لیکن یہ واقعہ ظاہر کرتا ہے کہ سائبر حملے اب ٹیکنالوجی کی خامیاں تلاش کرنے کے بجائے انسانی اور انتظامی نظاموں کو نشانہ بنا رہے ہیں۔

فائدہ کس کا، نقصان کس کا اور تارکین وطن پر اثرات

جعلی حکومتی درخواستوں کے اس کھیل کا سب سے بڑا فائدہ منظم سائبر کرائم گروہوں کو ہوتا ہے جو شناخت کی چوری، فِشنگ اور بھتہ خوری میں ملوث ہیں۔ بنیادی بینکنگ ڈیٹا حاصل کرنے کے بعد، یہ مجرم کسٹمرز کے مکمل پروفائلز تیار کرتے ہیں جنہیں بعد میں سم سوپنگ (SIM-swapping) اور تارکین وطن کے کھاتوں سے رقم نکلوانے کے لیے استعمال کیا جاتا ہے۔

عام صارفین، بالخصوص بین الاقوامی فری لانسرز، تارکین وطن اور کاروباری شخصیات کے لیے ذاتی معلومات کا افشا ہونا ایک بڑا خطرہ بن جاتا ہے۔ جب نام، ای میل، فون نمبر اور لین دین کی تفصیلات لیک ہو جاتی ہیں، تو صارفین کو بینک اہلکار بن کر کی جانے والی دھوکہ دہی کا سامنا کرنا پڑتا ہے۔

اس واقعے نے مالیاتی ریگولیٹری اداروں پر بھی سوالات کھڑے کر دیے ہیں۔ جیسے جیسے ڈیجیٹل بینک تیزی سے پھیل رہے ہیں، ان کی کمپلائنس ٹیمیں روزانہ ہزاروں قانونی درخواستوں پر عمل کرتی ہیں۔ جب تک عدالتوں اور پولیس کی درخواستوں کی تصدیق کے لیے جدید ڈیجیٹل اور تصدیق شدہ پورٹل قائم نہیں کیے جاتے، فنانشل ادارے اس قسم کے دھوکے کا شکار ہوتے رہیں گے۔

بینکنگ اداروں کے لیے سیکیورٹی نظام کی مضبوطی

جعلی حکومتی درخواستوں سے بچاؤ کے لیے مالیاتی اداروں کو قانونی اداروں کی تصدیق کے طریقے کو مکمل طور پر بدلنا ہوگا۔ محض ای میل ڈومین پر بھروسہ کرنا اب محفوظ نہیں رہا۔

سائبر سیکیورٹی ماہرین درج ذیل تین بنیادی اقدامات کی سفارش کرتے ہیں:

• کرپٹوگرافک تصدیق: تمام آنے والی قانونی اور پولیس درخواستوں کے لیے ڈیجیٹل دستخطوں کو لازمی قرار دینا۔
• ڈبل ویریفکیشن (متبادل تصدیق): معلومات فراہم کرنے سے پہلے متعلقہ ادارے کے اعلیٰ حکام سے متبادل ذرائع کے ذریعے خودکار تصدیق کرنا۔
• ہنگامی درخواستوں کا سخت نظام: ہنگامی بنیادوں پر ڈیٹا کی فراہمی کے لیے کم از کم دو سینئر القانون دانوں یا افسران کی منظوری لازمی بنانا۔

ریوولیوٹ نے تصدیق کی ہے کہ اس حملے کے دوران کسٹمرز کے فنڈز اور پاس ورڈز مکمل طور پر محفوظ رہے۔ تاہم، یہ واقعہ واضح کرتا ہے کہ جیسے جیسے تکنیکی دفاع مضبوط ہو رہا ہے، مجرم انسانوں اور انتظامی اعتمادی نظاموں کو ہدف بنانا جاری رکھیں گے۔

اکثر پوچھے گئے سوالات

How did cybercriminals access customer data from Revolut?

Attackers submitted forged government and law enforcement emergency data requests, impersonating legal authorities to bypass security controls and trick compliance teams into releasing personal records. Revolut discovered the breach during a security audit and alerted authorities.

Were customer funds or account passwords stolen in the Revolut data breach?

No, Revolut confirmed that customer funds, account credentials, and passwords remained completely secure throughout the incident. The breach was restricted to personal background data and account metadata.

What steps are financial institutions taking to stop law enforcement request fraud?

Banks are introducing cryptographic verification for incoming legal warrants, multi-step out-of-band supervisor verification, and dual-authorization approval flows before fulfilling emergency law enforcement data requests.