Ne oldu?

Britanya merkezli fintech Revolut’un Eylül başında duyurduğu müşteri verisi ifşasında yeni bir aşama var. Financial Times ve sektör raporlarına göre IAmNotAVillain adlı aktör, yaklaşık 3 milyon dolar karşılığı Monero (XMR) talep ediyor ve ödemeye 24 saat süre tanıyor; aksi halde 680 müşteriye ait dosyaların başka suç gruplarına satılacağını söylüyor. Önceki taleplere göre tutar düşmüş, süre kısalmış, ödeme aracı da zincir üzerinde izlenmesi zor bir gizlilik coin’ine kaymış.

Revolut, kendi sistemlerinin kırılmadığını; kimlik belgesi, adres, IBAN, hesap özeti, doğrulama selfie’si ve kripto işlem geçmişi gibi verilerin, meşru görünen “devlet / kolluk” talepleri üzerinden alındığını savunuyor. Şirket, sahte adresi engellediğini, taklit edilen kurumu, kolluğu ve regülatörleri bilgilendirdiğini; müşteri fonlarının etkilenmediğini belirtiyor. İngiltere ICO dosyayı değerlendirdiğini, FCA’nın da firma ile temas halinde olduğunu açıkladı.

Asıl çatlak: kurumsal kimliğe duyulan güven

Security Affairs ve önceki raporların çizdiği tabloya göre saldırganlar, İtalyan kamu kurumlarına ait PEC (sertifikalı e-posta) kanallarının ele geçirilmiş olabileceğini öne sürüyor. SPF, DKIM ve DMARC kontrollerinden geçen postalar, uyum ekiplerinin “rutin yasal talep” gibi işlemesine yol açmış. Yani kırılan şey bir API değil; devlet kimliğinin taşıdığı meşruiyet. IAmNotAVillain’in İtalyan kolluk sistemlerinde aylarca kaldığı ve yüzlerce gigabayt iç belge sızdırdığı iddiaları doğrulanırsa, Revolut dosyası ikinci planda kalır: asıl kriz, kamu iletişim altyapısının özel finans verisine açılan bir anahtar haline gelmesi olur.

Sınıfsal okuma

680 dosya “küçük bir sızıntı” gibi anlatılsa da her dosya bir insanın pasaportu, yüzü, banka hareketi. Fintech’ler “sınır tanımayan bankacılık” satarken, uyum süreçlerini devlet mühürüne bağlar; o mühür çalınınca müşteri verisi de peşinden gider. Sermaye, riski “sosyal mühendislik” diye bireyselleştirir; oysa sorun, kimlik doğrulama ve yasal talep süreçlerinin halkın mahremiyetini kurumsal güvene teslim etmesi.

Savunma tarafında yapılacaklar teknik ve politik: yasal talep kanallarında out-of-band doğrulama, kurumsal posta güvenliğinin bağımsız denetimi, etkilenen müşterilere ücretsiz kimlik koruma ve açık zarar tazmini. Fidye ödemek sorunu çözmez; ödeme, aynı verinin yeniden satılmasını engellemez. Asıl mesele, devlet kimliğinin ve özel finansın iç içe geçtiği bu güven zincirini halk lehine yeniden kurmak.