Violazione Revolut: come false richieste governative hanno esposto dati dei clienti

Revolut afferma che un soggetto non autorizzato ha ottenuto informazioni sensibili sui clienti dopo che l'azienda ha risposto a richieste fraudolente arrivate da un indirizzo appartenente al dominio di una vera agenzia governativa. La conferma, diffusa il 12 settembre, è rilevante perché gli aggressori non avrebbero dovuto violare i sistemi centrali di Revolut: hanno invece sfruttato la fiducia riposta in un canale di comunicazione dall'aspetto ufficiale. Revolut dice di aver contattato le persone coinvolte e che i fondi dei clienti e i suoi sistemi non sono stati compromessi. 134

Cosa ha confermato Revolut

Revolut ha confermato che richieste fraudolente di informazioni, provenienti da un indirizzo e-mail su un dominio governativo legittimo, hanno portato alla comunicazione di dati dei clienti a un terzo non autorizzato. L'azienda ha definito l'episodio una «sofisticata truffa esterna di impersonificazione», ha dichiarato di aver bloccato l'indirizzo una volta rilevato il problema e di aver avvisato le autorità competenti. 13448

La distinzione è importante: le informazioni disponibili non dimostrano che gli aggressori abbiano violato l'infrastruttura bancaria centrale di Revolut o avuto accesso ai fondi dei clienti. Dimostrano invece che è stata ingannata una procedura usata per gestire richieste esterne riguardanti dati sensibili. 134

Come avrebbe funzionato l'impersonificazione

L'elemento confermato è circoscritto ma significativo: le richieste provenivano da un vero dominio governativo. Un dominio tecnicamente autentico può far apparire ordinaria una richiesta fraudolenta, soprattutto nei team che devono trattare rapidamente domande legali o provenienti dalle forze dell'ordine. 135

Alcune ricostruzioni successive hanno collegato il mittente all'infrastruttura italiana di posta elettronica certificata (PEC) e al dominio pec.interno.it del Ministero dell'Interno. Questo collegamento non è stato confermato in modo indipendente da Revolut o dalle autorità italiane nei materiali disponibili: va quindi considerato un elemento riportato dalla stampa, non una ricostruzione accertata dell'attacco. 37

La lezione generale è chiara: l'autenticità apparente del dominio e-mail, da sola, non basta a provare che una richiesta di dati altamente sensibili sia legittima. La richiesta va verificata in modo indipendente, tramite un contatto noto dell'ente, e sottoposta a controlli di escalation prima di rilasciare documenti o informazioni.

Quante persone sono state coinvolte?

Inizialmente Revolut ha parlato di un numero «molto limitato» di clienti coinvolti, senza pubblicare una cifra. 1

In seguito, alcune notizie hanno indicato circa 680 clienti nel mondo, inclusi 12 clienti irlandesi. Revolut non aveva confermato pubblicamente questo totale nella sua prima dichiarazione: il numero va quindi inteso come dato riportato dalla stampa, non come cifra annunciata direttamente dalla società. 33

Sono inoltre circolate affermazioni secondo cui gli aggressori avrebbero avuto accesso a sistemi delle forze dell'ordine italiane per circa sei mesi. Si tratta di una rivendicazione non verificata del presunto autore dell'attacco, non di un accertamento di Revolut o delle autorità. 3637

Quali dati potrebbero essere stati esposti

Le notifiche ai clienti esaminate da TechCrunch indicano che i dati comunicati comprendevano informazioni di identità e contatto, fra cui data di nascita, indirizzo postale, e-mail, numero di telefono e copie di passaporti o patenti. La notifica indicava inoltre che potevano essere inclusi selfie usati per la verifica dell'identità, estratti conto e cronologie delle transazioni. 35

Altre ricostruzioni hanno citato IBAN, registri dei prelievi e attività di transazione in Bitcoin fra i materiali ottenuti. 510

È una combinazione particolarmente delicata: i documenti d'identità possono agevolare furti d'identità e frodi di recupero account, mentre dati di contatto e finanziari rendono i tentativi di phishing molto più credibili.

Perché le informazioni sulle transazioni Bitcoin aumentano il rischio

Nome, indirizzo, documento d'identità e selfie di verifica possono collegare una persona reale ad attività finanziarie. Se vi è anche una cronologia di transazioni Bitcoin, l'esposizione può rendere più semplice associare dati d'identità verificati offline ad attività visibili su una blockchain pubblica. 1035

Questo non significa che ogni portafoglio o futura transazione possa essere attribuita automaticamente a una persona. Tuttavia, l'insieme dei dati può aumentare il rischio di phishing mirato, furto d'identità, tentativi di coercizione e truffe rivolte a persone percepite come detentrici di criptoattività. Diversamente da una password, documenti d'identità e registri storici sulla blockchain non possono semplicemente essere cambiati dopo una fuga di dati.

Pubblicazione dei dati, nomi noti e presunto riscatto

Secondo le notizie, gli aggressori avrebbero iniziato a pubblicare materiale dei clienti e a minacciare ulteriori divulgazioni. Sono stati citati file attribuiti al tennista Alexander Shevchenko e a Felix Römer, amministratore delegato di Gamdom; Cointelegraph ha riferito che Römer ha commentato dopo la comparsa dei suoi dati nella fuga. 2

È circolata anche una presunta richiesta di 10.000 BTC, valutata all'epoca circa 780 milioni di dollari. Revolut non ha confermato tale richiesta, né risulta confermata dalle forze dell'ordine nelle fonti citate. Va dunque trattata come una rivendicazione estorsiva non verificata, non come una trattativa di riscatto accertata. 1213

Cosa dovrebbero fare i clienti interessati

Chi ha ricevuto una notifica dovrebbe conservarla e seguire le indicazioni ufficiali di Revolut. Occorre inoltre prestare particolare attenzione a messaggi che citano dati personali corretti, sostengono di provenire da Revolut o da un'autorità, oppure creano urgenza sulla sicurezza dell'account.

Misure prudenti includono:

• cambiare le password di Revolut e della propria e-mail se sono riutilizzate altrove, attivando l'autenticazione a più fattori più robusta disponibile;
• considerare sospette telefonate, SMS ed e-mail non richiesti, anche quando contengono informazioni personali esatte;
• non comunicare mai codici monouso, codici di recupero o seed phrase a chi chiama o scrive;
• monitorare conti bancari, carte e account su exchange di criptovalute, documentando contatti o attività anomale;
• per chi ha avuto esposti documenti d'identità, tenere conto del rischio di frodi future, senza presumere che il pericolo finisca con la sostituzione di una carta.

Nel Regno Unito, l'Information Commissioner's Office (ICO), l'autorità britannica per la protezione dei dati, invita chi teme che un'organizzazione non abbia protetto adeguatamente le sue informazioni a contattare prima l'organizzazione stessa e mette a disposizione canali di assistenza al pubblico. 23

La lezione operativa per le società finanziarie

L'episodio mostra perché le richieste sensibili da parte di enti pubblici o forze dell'ordine richiedano controlli che vadano oltre la verifica del dominio del mittente. Tra le misure efficaci figurano la verifica telefonica indipendente usando recapiti presenti in elenchi affidabili, la doppia approvazione per divulgazioni particolarmente sensibili, la minimizzazione dei dati trasmessi, registri verificabili delle richieste e procedure chiare per riconoscere l'ingegneria sociale fondata sull'autorità.

Per i clienti, il messaggio è altrettanto diretto: un indirizzo e-mail dall'aspetto ufficiale è un indizio da verificare, non una prova da accettare. Quando sono coinvolti documenti d'identità e cronologie finanziarie, le frodi successive possono essere più dannose della divulgazione iniziale.

Cosa resta da chiarire

Le prove disponibili confermano che Revolut ha divulgato dati dei clienti dopo richieste fraudolente inviate da un dominio governativo legittimo e che, secondo la società, i sistemi centrali e i fondi dei clienti non sono stati interessati. 1

Restano irrisolti diversi dettagli nelle notizie disponibili: il ruolo preciso dell'infrastruttura PEC, la presunta durata di sei mesi, il numero completo di persone coinvolte, il presunto accesso degli aggressori a sistemi italiani e l'eventuale stato di azioni delle autorità britanniche. Senza conferme ufficiali, queste affermazioni non devono essere presentate come fatti definitivi. 133637