Občasník

Série:Komentáře

Největší slabinou nebyl server, ale důvěra ve stát aneb jak měly napadené italské systémy otevřít cestu k datům Revolutu

Revolut potvrzuje, že data klientů vydal po žádosti z legitimní vládní e-mailové domény. Účet International Cyber Digest zprostředkoval tvrzení útočníka IAmNotAVillain, že k odeslání těch žádostí zneužil kompromitované italské policejní systémy a drží 147 GB dat z italské strany. Co je fakt, co je tvrzení jedné strany a co k 16. září 2026 nepotvrdil nikdo.

Revolut opakovaně potvrzuje jednu větu: data klientů vydal proto, že žádost přišla z e-mailové schránky uvnitř skutečné domény státního úřadu. Teď se k tomu lepí druhá, mnohem těžší vrstva — účet International Cyber Digest zprostředkoval tvrzení útočníka, který si říká IAmNotAVillain, že k odeslání těch žádostí zneužil kompromitované italské policejní systémy a že drží 147 GB dat z italské strany operace. Pokud je to pravda, nejde jen o selhání jedné fintech firmy. Jde o to, co se stane, když se důvěryhodným prostředníkem — tím, komu ostatní instituce automaticky věří — stane sám stát. K 16. září 2026 to ale zůstává přesně tím, co říká nadpis: tvrzení jedné strany, podepřené snímky obrazovky, které si navzájem neodpovídají ani v základních číslech.

Co Revolut potvrzuje — a co ne

Základní fakt kauzy jsme na Občasníku popsali už ve dvou předchozích dílech a od 12. září 2026 se nezměnil.

Tohle je vrstva, kterou má Revolut přímo pod kontrolou a k níž se přímo vyjádřil. Vše, co následuje níže, je jiná kategorie: tvrzení útočníka, zprostředkované monitorovacím účtem na síti X, které Revolut ani italské úřady k datu psaní tohoto textu veřejně nekomentovaly.

Tvrzení IAmNotAVillain: šest měsíců, italská policie, 147 GB

  1. září 2026 v 19:11 zveřejnil účet International Cyber Digest na X vlákno, které kauzu posunulo z „fintech vydal data podvodníkovi” k mnohem těžšímu tvrzení.

V navazujících příspěvcích téhož vlákna útočník podle ICD dodal, že týž den spustil vlastní web, a vyjmenoval země, jejichž rezidenti mají být v datech zastoupeni: primárně Švýcarsko a Francie, dále mimo jiné Kypr, Portugalsko, Německo, Španělsko, Bulharsko, Česko, Rumunsko, Polsko, Malta, Norsko, Švédsko a Itálie — seznam byl v příspěvku zkrácený („Show more”) a nejde o úplný, natož nezávisle ověřený výčet (odkaz, 14. 9. 2026). Že se na tomto seznamu objevuje i Česko, neznamená nic víc, než že to o sobě tvrdí sám útočník citovaný přes ICD — nejde o potvrzení, že mezi klienty Revolutu s českou vazbou k nějakému úniku skutečně došlo.

Snímek dialogu vlastností složky „Italy” s údaji o velikosti a počtu souborů, zveřejněný účtem International Cyber Digest

Snímek obrazovky, který k tvrzení o 147 GB zveřejnil účet International Cyber Digest jako součást vlákna s útočníkem IAmNotAVillain. Dokumentuje pouze to, co útočník sám ukázal a jak to prezentoval — není to nezávislé forenzní potvrzení obsahu, původu ani pravosti složky.

Model „trusted relay”: jak se z jedné schránky stane klíč ke všemu

Screenshoty a jejich limity: 36 393, nebo 86 999 souborů?

Snímky obrazovky, které útočník zveřejnil, mají jednu vlastnost, která se snadno přehlédne, dokud je nesrovnáte vedle sebe: neshodují se ani samy se sebou napříč sekundárními zdroji.

Server IT-Connect k tvrzení o 147 GB napsal, že podpůrný snímek obrazovky ukazuje složku nazvanou „Italy”, o velikosti 147 GB, obsahující 36 393 souborů rozdělených do 5 223 složek. Server Matrice Digitale, který ke stejnému vláknu cituje tentýž snímek dialogu vlastností složky, uvádí jiné číslo: 86 999 souborů, 5 223 složek. Obě čísla složek se shodují — liší se jen počet souborů, a to o desítky tisíc.

Server Matrice Digitale k tomu dodává důležitou metodologickou poznámku, kterou stojí za to zopakovat doslova v parafrázi: číslo GB deklarované kriminálníkem je jeden z nejméně spolehlivých ukazatelů v reakci na incident, pokud ho nedoprovází nezávislé vzorkové ověření. Snímek obrazovky může dokládat existenci archivu nazvaného „Italy”. Nedokazuje sám o sobě původ, autenticitu, úplnost ani datum pořízení obsahu.

Starý justiční precedent a nedávný listing, které nejsou důkazem letošní kauzy

Tvrzení o zneužití italských institucionálních e-mailů nevzniká ve vzduchoprázdnu — ale žádný z následujících dvou precedentů není důkazem toho, co se stalo (nebo nestalo) v roce 2026.

Ani milánský případ z let 2021–2022, ani srpnový listing samy o sobě neprokazují nic o pravdivosti letošního tvrzení IAmNotAVillain. Dokazují jen jednu užší a důležitější věc: zneužití autentických e-mailových schránek uvnitř italských bezpečnostních složek k získávání dat od soukromých firem už jednou skončilo u italského soudu jako reálný, ne hypotetický scénář. To dělá letošní tvrzení věrohodnějším v tom smyslu, že popisuje známý typ útoku — nedělá ho to automaticky pravdivým.

PEC, SPF, DKIM: šifrovaný kanál není totéž co oprávněná osoba

Druhotné zneužití: vydírání, zveřejňování a nový „KYC kit” za 29,99 dolaru

O vydírání skupinou, která si podle dřívějších zpráv říká Revolut Smilik, a o požadavku 10 000 bitcoinů jsme psali v předchozím díle — k 16. září 2026 zůstává výše výkupného nepotvrzená a mezi zdroji rozporná. K tomu teď přibývá nové, ještě čerstvější tvrzení.

Ať je rozsah a cena jakékoliv, princip je jasný a nezávisí na přesném čísle: jakmile jsou citlivá KYC data jednou venku, další zneužití — opětovný prodej, cílený phishing našitý na skutečné jméno a transakční historii, nebo přímo vydírání — se dá zastavit jen těžko a nikdy úplně. Screenshot k tomuto konkrétnímu tvrzení o prodeji na Duelu záměrně nepřikládám: obsahuje odkazy na produktovou stránku s potenciálně čitelnými osobními údaji, a zveřejnění by riziko jen znásobilo, aniž by cokoliv dokázalo.

Co by měli Revolut a italské úřady ověřit

Než se z těchto tvrzení stanou fakta nebo se naopak vyvrátí, je namístě jasně pojmenovat, co by taková verifikace měla obsahovat:

  • Zda italské orgány (Ministerstvo vnitra, ACN, Polizia Postale nebo Carabinieri) potvrdí nebo vyvrátí kompromitaci vlastních systémů či e-mailových schránek v období, které útočník označuje za šestiměsíční operaci.
  • Zda Revolut nezávisle ověří, ze které konkrétní domény a schránky žádosti fakticky přišly, a porovná to s tvrzením o italském původu.
  • Zda nezávislá forenzní analýza dokáže ověřit alespoň vzorek ze zveřejněných 147 GB dat — jejich metadata, datum vzniku a shodu s reálnými interními dokumenty, ne jen vzhled screenshotů.
  • Zda Revolut potvrdí nebo vyvrátí přítomnost klientů s vazbou na Česko a další jmenované země v postiženém vzorku, i kdyby šlo jen o řádové potvrzení/vyvrácení, ne o konkrétní počty.
  • Zda platforma Duel skutečně nabízela k prodeji data popsaná v tvrzení ICD, v jakém rozsahu, a jak na zjištění zareaguje provozovatel i případní regulátoři v jurisdikci, kde kasino působí.
  • Zda se dřívější podzemní listing webmailu italské policie z konce srpna 2026 nějak věcně pojí s letošní kauzou Revolutu, nebo jde o dvě zcela oddělené věci, které se jen podobají mechanismem.

Závěr

Rozdíl mezi druhým a tímto dílem série je rozdíl mezi „firma selhala v ověřování” a „mohlo selhat samotné jádro důvěry, na kterém takové ověřování vůbec stojí”. Pokud útočník skutečně ovládal italské policejní systémy, pak nejde o chybu Revolutu v tom smyslu, jak jsme o ní psali dřív — jde o to, že kompromitovaný stát se stal nástrojem útoku na soukromou firmu a její klienty. Pokud to pravda není, jde o dobře zacílenou dezinformační vrstvu, která má vydírání dodat věrohodnost a zvýšit tlak na platbu. Obojí je z pohledu klienta, jehož pas a transakční historie případně kolují dál, prakticky stejně nepříjemné — ale z pohledu veřejné politiky a odpovědnosti jde o naprosto odlišné závěry, a proto je rozlišovat.

Zdroje