Dati Revolut divulgati, riscatto da 3 milioni: cosa è confermato e cosa resta da verificare

Revolut ha confermato che informazioni sensibili di alcuni clienti sono state comunicate a un soggetto non autorizzato dopo richieste fraudolente inviate da un dominio e-mail di una legittima agenzia governativa. L’azienda descrive l’episodio come una truffa esterna di impersonificazione o ingegneria sociale, non come una compromissione accertata dei suoi sistemi centrali. 12

Il caso ha anche generato una richiesta pubblica di riscatto attribuita a un gruppo che usa il nome “iamnotavillain”. Ma c’è un elemento decisivo: Revolut ha dichiarato a Reuters di non aver ricevuto contatti diretti né una richiesta di riscatto dagli individui o dal gruppo che rivendicano la responsabilità. 2

Cosa ha confermato Revolut

Secondo la dichiarazione di Revolut riportata da Reuters, i truffatori hanno sfruttato un dominio e-mail appartenente a una vera agenzia governativa per inviare richieste ingannevoli di dati sui clienti. Prima di individuare la frode, Revolut ha quindi comunicato informazioni sensibili a una parte non autorizzata. 1

L’azienda ha detto di aver avvisato i clienti coinvolti e, inizialmente, ha definito il loro numero «molto limitato». Reuters ha poi riferito che l’incidente avrebbe riguardato circa 680 clienti, dato che Revolut non aveva indicato nel suo primo comunicato pubblico. 12

Le comunicazioni inviate ai clienti interessati, riportate dalla stampa, indicano che i dati esposti potrebbero comprendere informazioni identificative e di contatto, tra cui date di nascita, indirizzi, numeri di telefono e copie di documenti d’identità. TechCrunch ha riferito che potrebbero essere inclusi anche selfie usati per la verifica dell’identità, estratti conto e altro materiale relativo ai conti. 5

I sistemi di Revolut sono stati violati?

In base alla ricostruzione di Revolut e alle informazioni di una fonte a conoscenza del caso, l’infrastruttura centrale, i database e i conti dei clienti di Revolut non sono stati hackerati. La società ha inoltre dichiarato che i suoi sistemi e i fondi dei clienti non sono stati coinvolti. 12

La distinzione è rilevante: l’evento confermato consiste nella divulgazione di dati indotta da richieste fraudolente, non in un’intrusione tecnica accertata nei sistemi dei conti o nei database di Revolut. Le informazioni pubbliche non permettono di ricostruire in modo indipendente ogni dettaglio tecnico dell’accaduto: la portata dell’incidente non va quindi oltre quanto documentato. 12

La richiesta di 3 milioni di dollari

Secondo quanto riportato dal Financial Times e ripreso da Reuters, i soggetti che rivendicano l’azione avrebbero minacciato di vendere a gruppi criminali i dati riservati di centinaia di clienti Revolut se l’azienda non avesse pagato un riscatto di 3 milioni di dollari entro 24 ore. 2

Altre notizie indicano una richiesta di 6.000 Monero (XMR), dal valore di circa 3 milioni di dollari al momento della richiesta, e attribuiscono l’ultimatum al presunto gruppo “iamnotavillain”. Il gruppo avrebbe pubblicato online il messaggio con un conto alla rovescia, sostenendo che non ci fossero state trattative. 46

Si tratta però di affermazioni del gruppo che rivendica l’episodio, o riportate come tali. Non dimostrano né che l’identità di “iamnotavillain” sia autentica, né che il gruppo possieda tutti i dati che sostiene di avere, né che sia in grado di venderli come minacciato. Il fatto che Revolut dica di non aver ricevuto alcuna domanda diretta di riscatto rende ancora più incerto lo status dell’ultimatum pubblico. 26

Cosa si sa e cosa non è verificato

Elementi supportati dalla dichiarazione di Revolut e dalle principali ricostruzioni giornalistiche

• Richieste fraudolente inviate da un dominio e-mail di una legittima agenzia governativa hanno causato una divulgazione non autorizzata di dati sensibili dei clienti. 1
• Revolut afferma che i suoi sistemi e i fondi dei clienti non sono stati coinvolti. 1
• Reuters ha riferito che Revolut non ha ricevuto contatti diretti o richieste di riscatto dai presunti responsabili. 2
• Le notizie collocano il numero dei clienti interessati attorno a 680. 24

Elementi ancora non verificati o dipendenti dalle dichiarazioni dei presunti aggressori

• Che “iamnotavillain” sia effettivamente la persona o il gruppo responsabile della divulgazione. 26
• Che il gruppo detenga l’intero insieme di dati che afferma di possedere. 26
• Che i dati siano stati venduti, condivisi o utilizzati da altri gruppi criminali. 2
• L’intera catena tecnica e operativa che ha reso credibili le richieste fraudolente. 12

In sintesi

Le informazioni disponibili portano a una conclusione circoscritta ma grave: Revolut ha comunicato dati sensibili di clienti dopo essere stata ingannata da richieste fraudolente apparentemente provenienti da un dominio e-mail governativo legittimo. Revolut contesta che vi sia stata una violazione della propria infrastruttura centrale o dei conti dei clienti. 12

La richiesta di 3 milioni di dollari in Monero, il termine di 24 ore, il conto alla rovescia e l’attribuzione a “iamnotavillain” sono stati riportati pubblicamente, ma restano accuse legate alle dichiarazioni dei presunti aggressori. Finché non arriveranno riscontri indipendenti, questi elementi vanno tenuti distinti dalla divulgazione di dati che Revolut ha confermato. 26