Revolut ha confermato che alcuni truffatori sono riusciti a ingannare la piattaforma, convincendola a fornire dati personali appartenenti a un gruppo di clienti. Tra le informazioni finite nelle mani degli attaccanti ci sarebbero passaporti, selfie utilizzati per la verifica dell’identità e registri relativi alle transazioni in Bitcoin.
La richiesta era arrivata da un vero dominio mail appartenente a un’agenzia governativa ed era accompagnata da credenziali valide. Per questo motivo Revolut aveva ritenuto la comunicazione autentica e aveva proceduto a fornire i dati richiesti.
🔽 Indice dei contenuti
Cosa è successo secondo Revolut
Un portavoce di Revolut ha spiegato a BeInCrypto che la società ha bloccato il mittente non appena ha individuato l’anomalia.
Secondo quanto riferito dall’azienda, si sarebbe trattato di un sofisticato attacco di impersonificazione. Una terza parte non autorizzata avrebbe infatti utilizzato il dominio mail legittimo di un’agenzia governativa per presentare richieste fraudolente di informazioni.
Revolut sostiene inoltre che i propri sistemi e i fondi dei clienti non siano stati compromessi.
Dopo aver individuato l’attacco, la società afferma di aver informato l’agenzia coinvolta, le autorità di polizia e gli organismi di regolamentazione competenti in materia di protezione dei dati e servizi finanziari. Revolut ha inoltre contattato quello che definisce un numero limitato di clienti interessati dall’incidente.
Gli account Revolut sono ancora sicuri?
Sul piano della sicurezza degli account, Revolut rassicura i clienti. La società ha dichiarato a BeInCrypto che passcode, credenziali di accesso e dati biometrici non sono mai stati esposti e che nessuna somma di denaro è stata trasferita.
Le comunicazioni inviate ai clienti, però, permettono di ricostruire un quadro più dettagliato di ciò che sarebbe stato effettivamente condiviso.
Tra i dati trasmessi figurerebbero i selfie utilizzati per la verifica dell’identità. Revolut precisa che non sarebbe stata esposta la telemetria biometrica facciale, cioè il modello del volto che un sistema genera a partire da una fotografia. Il selfie originale, tuttavia, rappresenta un elemento distinto.
Le comunicazioni ai clienti indicano inoltre che sarebbero stati coinvolti passaporti, patenti di guida, indirizzi di residenza ed estratti conto bancari. A questi dati si aggiungerebbe anche uno storico completo delle transazioni Bitcoin in entrata e in uscita.
Revolut avrebbe consegnato dati sensibili dopo una falsa richiesta del governo
L’episodio è stato segnalato anche dall’investigatore blockchain ZachXBT, noto per le sue attività di monitoraggio delle criptovalute rubate.
Revolut non ha reso pubblico il nome dell’agenzia il cui dominio sarebbe stato utilizzato per inviare la richiesta, spiegando che l’indagine della polizia è ancora in corso. Al momento, quindi, non è chiaro se la casella mail dell’ente governativo sia stata compromessa oppure se la richiesta sia stata inviata da qualcuno che disponeva già di un accesso legittimo al sistema.
Secondo ZachXBT, la fuga di dati avrebbe interessato un numero limitato di utenti e potrebbe essere stata indirizzata in particolare verso clienti considerati facoltosi.
L’incidente solleva anche un problema ulteriore. Informazioni personali sottratte durante precedenti violazioni di dati sono state spesso utilizzate per campagne di phishing, mentre la diffusione di indirizzi di abitazioni private ha già preceduto in passato episodi di violenza nei confronti di persone che possiedono criptovalute.
Revolut ha definito l’accaduto un attacco sofisticato. Il punto più delicato, però, resta il meccanismo con cui è stato possibile ottenere i dati: secondo la ricostruzione della stessa società, l’aggressore avrebbe utilizzato un sistema mail governativo legittimo per inoltrare una richiesta fraudolenta, che Revolut ha considerato autentica prima di fornire le informazioni richieste.