Revolut ingannata da una falsa richiesta governativa: esposti passaporti, Iban e dati sulle transazioni Bitcoin

Non è servito violare un server né indovinare una password. È bastata una richiesta costruita per sembrare ufficiale. Revolut ha confermato di aver consegnato a una parte non autorizzata dati sensibili di un numero limitato di clienti dopo aver ricevuto una richiesta fraudolenta proveniente da un account ospitato sul dominio di una vera agenzia governativa. La fintech britannica ha reso noto l’episodio il 12 settembre, dopo che l’investigatore blockchain ZachXbt aveva pubblicato alcuni dettagli della comunicazione inviata da Revolut ai clienti coinvolti. L’azienda assicura che i suoi sistemi e i fondi dei clienti non sono stati compromessi.

IL RAGGIRO

Non si è trattato di un attacco informatico nel senso classico del termine: nessuno, secondo quanto emerso finora, è entrato nei sistemi di Revolut. La truffa è partita da una richiesta di informazioni inviata da un account non autorizzato che si trovava però all’interno del dominio email autentico di un’agenzia governativa. È proprio questo il dettaglio che ha reso credibile la richiesta. Il messaggio risultava associato al dominio reale dell’ente e aveva superato i controlli tecnici di autenticazione previsti per le email. Revolut lo ha quindi trattato come una richiesta governativa legittima e ha fornito le informazioni richieste. Solo in un secondo momento, contattando direttamente l’agenzia, ha scoperto che la richiesta era fraudolenta.

COSA È FINITO NELLE MANI SBAGLIATE

I dati potenzialmente esposti sono particolarmente sensibili. La comunicazione inviata ai clienti coinvolti indica informazioni identificative e di contatto, tra cui nome, data di nascita, professione, indirizzo, email e numero di telefono. Tra i documenti figurano inoltre copie di passaporto o patente e le immagini utilizzate per la verifica dell’identità. Sul fronte finanziario, la comunicazione comprendeva anche dati relativi ai conti, tra cui Iban, estratti conto, movimenti e cronologia delle transazioni, comprese quelle in Bitcoin. Il punto più delicato non è quindi soltanto la quantità di informazioni finite all’esterno, ma la possibilità di collegarle tra loro: un documento d’identità associato a un indirizzo, a un conto e allo storico delle operazioni in criptovalute può diventare una base molto più utile per frodi mirate e tentativi di impersonificazione.

COSA NON RISULTA COMPROMESSO

Secondo Revolut, password, credenziali di accesso e fondi dei clienti non sono stati coinvolti. L’azienda ha inoltre precisato che le immagini utilizzate per la verifica facciale non comprendevano i dati biometrici derivati dal riconoscimento. Non risultano quindi, allo stato attuale, conti svuotati o accessi abusivi ai profili dei clienti. L’incidente riguarda invece la divulgazione non autorizzata di informazioni personali e finanziarie.

IL CASO BITCOIN RENDE IL QUADRO PIÙ SENSIBILE

Le transazioni Bitcoin sono registrate su una blockchain pubblica, ma il loro collegamento con una persona reale non è necessariamente immediato. In questo caso, invece, lo storico delle operazioni sarebbe stato associato a dati Kyc, documenti d’identità e informazioni di contatto. L’investigatore blockchain ZachXbt ha ipotizzato che l’episodio possa aver riguardato soprattutto clienti con patrimoni elevati. Si tratta però di una valutazione esterna: Revolut non ha pubblicato né il numero degli interessati né un profilo ufficiale delle persone coinvolte.

LA RISPOSTA DI REVOLUT

Una volta scoperta la frode, Revolut ha bloccato l’indirizzo email utilizzato nella richiesta e ha informato l’agenzia governativa coinvolta, le forze dell’ordine e le autorità competenti in materia di protezione dei dati e vigilanza finanziaria. I clienti interessati, definiti dall’azienda come un numero “limitato”, sono stati contattati direttamente. Non è stato reso noto quale agenzia sia stata impersonata, quanti clienti siano coinvolti o in quale Paese sia avvenuto l’episodio.

UN PROBLEMA CHE VA OLTRE REVOLUT

Il caso mostra un limite più ampio delle procedure basate sull’autenticazione delle email: un indirizzo appartenente davvero a un’organizzazione legittima non garantisce, da solo, che la persona che lo utilizza sia autorizzata a formulare una richiesta. È un problema già noto alle autorità. Nel novembre 2024 l’Fbi aveva segnalato la circolazione di credenziali appartenenti a caselle email governative e delle forze dell’ordine, utilizzabili per ottenere informazioni attraverso richieste fraudolente. Nel caso Revolut, la violazione non è quindi avvenuta sfondando una porta digitale, ma convincendo chi stava dall’altra parte che la richiesta fosse autentica.