Revolut ha reso noto un episodio di esposizione di dati riservati che ha coinvolto un numero limitato di clienti, dopo aver risposto a richieste presentate da un soggetto non autorizzato che si è servito del dominio email ufficiale di un’agenzia governativa non identificata. La fintech britannica ha specificato che il proprio sistema informatico e i fondi dei clienti sono rimasti fuori dalla vicenda, mentre il problema è nato dal trattamento di una comunicazione ritenuta a torto legittima.
Come l’autenticazione del dominio ha ingannato Revolut
Il messaggio incriminato conteneva credenziali di autenticazione valide per quel dominio governativo, un dettaglio che ha spinto il personale interno a considerare la richiesta come proveniente da un canale istituzionale reale.
Sulla base di questa convinzione Revolut ha fornito una risposta articolata, che ha incluso nomi completi, date di nascita, indirizzi postali e numeri di telefono dei clienti coinvolti, insieme a copie dei documenti d’identità e alle immagini di verifica facciale raccolte durante l’apertura del conto. Tra i dati condivisi figurano anche informazioni finanziarie come l’IBAN e le cronologie delle transazioni (comprese, secondo alcune ricostruzioni, quelle relative a operazioni in Bitcoin), accanto ai dettagli sui prelievi effettuati dai conti interessati. L’azienda ha precisato che i dati biometrici veri e propri sono rimasti estranei all’episodio e ha contattato individualmente i clienti coinvolti, senza specificare il numero delle persone interessate né rivelare quale agenzia sia stata impersonata.
Le accuse non confermate su un coinvolgimento italiano
Poche ore dopo la conferma ufficiale, l’account X International Cyber Digest ha diffuso dichiarazioni attribuite al presunto responsabile dell’attacco.
Secondo quanto riportato, l’operazione contro Revolut sarebbe durata sei mesi e si sarebbe basata sull’uso di sistemi collegati a più dipartimenti delle forze dell’ordine italiane per inviare le richieste di dati. Lo stesso soggetto sostiene di detenere 147 gigabyte di materiale sottratto dal lato italiano dell’operazione, comprensivo di documenti interni e calendari.
Alcuni screenshot condivisi su Telegram mostrerebbero l’origine italiana degli indirizzi email utilizzati per contattare Revolut, insieme a una cartella denominata Italy da 147 GB e contenente decine di migliaia di file. Nessuna di queste affermazioni ha ricevuto conferma indipendente da parte di Revolut o delle autorità italiane. L’episodio riporta comunque l’attenzione su un vettore di attacco poco discusso, quello delle richieste di dati che imitano canali istituzionali legittimi: le forze dell’ordine inviano ogni anno centinaia di migliaia di richieste alle piattaforme digitali e agli istituti finanziari, mentre richieste analoghe raggiungono anche gli operatori telefonici, spesso accompagnate da un provvedimento del tribunale. Quando è in gioco un rischio imminente per l’incolumità di una persona, le aziende possono ricevere ed evadere richieste senza la documentazione di supporto abituale, circostanza che riduce il margine di tempo disponibile per verificare l’identità reale del mittente.
