Revolut, șase zile mai târziu: cinci luni, 680 de conturi și o răscumpărare pe care compania spune că nu a primit-o

• Confirmat de Revolut, prin declarațiile relatate anterior: o parte neautorizată a folosit un cont de e-mail dintr-un domeniu real al unei autorități publice pentru a obține informații despre clienți; compania a identificat schema, a blocat adresa și a contactat clienții afectați.
• Confirmat de Revolut acum, prin purtătorul de cuvânt: compania „nu a primit niciun contact direct sau vreo cerere din partea persoanelor sau grupului care fac aceste afirmații”. Cu alte cuvinte, revendicarea de răscumpărare există public, dar nu a ajuns la companie.
• Refuzat explicit de Revolut: numărul persoanelor afectate și numele autorității impersonate. Compania a fost întrebată și a ales să nu confirme.
• Raportat de cercetători: firma Hudson Rock, prin echipa de investigații Duel, indică o durată de aproximativ cinci luni și susține că adresa de e-mail compromisă aparținea unui angajat din Ministerul de Interne al Italiei, pe un domeniu instituțional.
• Raportat de presă: aproximativ 680 de clienți Revolut afectați, descriși drept deținători importanți de criptomonede.
• Revendicat de atacatori: un actor care folosește pseudonimul „IAmNotAVillain” a cerut public trei milioane de dolari, iar afirmația lui despre durată este de șase luni, nu cinci.

Tentația, când citești un titlu cu „680 de conturi și 3 milioane de dolari”, este să tratezi totul ca pe un fapt. Dar cele trei niveluri de mai sus au valori diferite. O declarație a companiei angajează răspunderea acesteia. O cercetare atribuită unei firme numite poate fi evaluată după reputația ei și după metodă. O revendicare a atacatorului este, până la probă contrarie, o afirmație interesată — inclusiv atunci când se dovedește adevărată.

Pentru o organizație care trece printr-un incident, asta nu e o discuție teoretică. Este exact situația în care te vei afla: primele tale declarații vor fi mai înguste decât ce publică ulterior cercetătorii, pentru că tu nu poți afirma decât ce ai verificat, iar ei pot publica ce au observat. Diferența va fi citită de public ca ascundere, dacă nu o explici din timp.

Dacă estimarea de aproximativ cinci luni se confirmă, atunci partea gravă a acestui caz nu este că cineva a trimis o cerere falsă. Este că a putut să o repete luni la rând, pe același canal, fără ca tiparul să declanșeze ceva.

O cerere de la o autoritate este, prin natura ei, un eveniment tratat cu prioritate și cu discreție. Tocmai de aceea rareori există un contor care să spună câte astfel de cereri au venit de la aceeași adresă în ultimele șase luni, cine le-a aprobat și ce volum de date a ieșit cumulat. Un incident izolat se vede greu; o tendință se vede, dacă cineva se uită la ea.

• Construiește contorul. Câte cereri de date de la autorități ați primit în ultimele șase luni, de la ce adrese, cine le-a aprobat și ce categorii de date au fost transmise. Dacă nu poți răspunde, aceasta este constatarea, nu cererea în sine.
• Stabilește pragul la care o serie devine suspectă. Nu numărul unei singure cereri contează, ci repetarea de la același expeditor, creșterea volumului sau insistența asupra unor clienți cu profil ridicat.
• Scrie dinainte cele două paragrafe pe care le vei publica în ziua unu. Unul spune ce știi, celălalt spune explicit ce nu știi încă și când vei reveni. Al doilea paragraf este cel care îți cumpără credibilitate atunci când presa publică cifre pe care nu le poți confirma.
• Decide cine vorbește despre revendicările atacatorilor și ce spune. Poziția Revolut — că nu a primit nicio cerere directă — este un exemplu de formulare care neagă un fapt verificabil fără să comenteze restul revendicării.
• Verifică al doilea canal. Toată schema se sprijină pe faptul că un e-mail dintr-un domeniu legitim a fost tratat ca dovadă de autoritate. Confirmarea printr-un canal independent, folosind date de contact obținute separat, rămâne singura măsură care rupe lanțul.

Nu este public câte persoane au fost efectiv afectate, ce date au fost transmise în total, dacă cifra de 680 este completă sau parțială și dacă revendicarea de răscumpărare are vreo legătură reală cu cei care au executat cererile. Nici durata nu este stabilită: estimarea cercetătorilor și afirmația atacatorului diferă cu o lună.

Aceste necunoscute nu sunt un defect al relatării, ci starea normală a unui incident la o săptămână după dezvăluirea publică. Awarely Learning poate transforma exact acest interval — ziua unu, săptămâna unu, luna unu — într-un exercițiu pentru conducere, comunicare și juridic; evaluarea faptelor și decizia de comunicare rămân ale organizației.