Una truffa informatica ha colpito Revolut, mettendo a rischio i dati personali e finanziari di circa 680 clienti della fintech britannica. Gli hacker sarebbero riusciti a ottenere informazioni sensibili fingendosi funzionari di un ente governativo e sfruttando un indirizzo email apparentemente autentico per convincere la società a fornire i dati richiesti.
A essere coinvolti sarebbero poco meno di 700 clienti, che Revolut ha informato attraverso una comunicazione via email. Nell’avviso la società spiega che l’incidente di sicurezza è stato provocato da un furto d’identità esterno, che avrebbe portato alla condivisione di alcuni dati personali con una terza parte non autorizzata.
Revolut, come è avvenuta la truffa
Secondo quanto ricostruito, Revolut avrebbe ricevuto una richiesta di accesso ai dati dei propri clienti proveniente da un account che sembrava appartenere a un’autorità governativa. La richiesta appariva quindi formalmente legittima e la società avrebbe proceduto a fornire le informazioni sulla base delle procedure previste dalla normativa sulla protezione dei dati.
Il meccanismo utilizzato dagli hacker avrebbe sfruttato proprio la fiducia associata alle comunicazioni istituzionali. L’indirizzo email utilizzato per la richiesta sarebbe infatti riconducibile realmente al dominio di un ente pubblico e sarebbe stato dotato di credenziali di autenticazione valide.
«La procedura di richiesta dati da parte di una società governativa si chiama “Emergency data request” e tutte le piattaforme (social networks, cloud providers) ne gestiscono decine su base quotidiana», spiega Marco Ramilli, fondatore dell’azienda italiana di cybersecurity Yoroi.
Il problema, però, è che dietro la richiesta non ci sarebbe stata una vera autorità pubblica. Gli autori dell’attacco avrebbero quindi agito sotto falsa identità, sfruttando un account istituzionale compromesso.
Una volta individuati i potenziali fattori di rischio, Revolut ha spiegato di aver allertato l’autorità interessata. Sono state inoltre coinvolte le forze dell’ordine, le autorità competenti per la protezione dei dati e i regolatori finanziari.
La società ha precisato che gli account dei clienti coinvolti non sarebbero stati compromessi e che l’indirizzo utilizzato per la richiesta fraudolenta è stato bloccato immediatamente.
I dati dei clienti finiti nelle mani degli hacker
Le informazioni che sarebbero state divulgate comprendono documenti di identità, indirizzi e altri dati di contatto, fotografie utilizzate per la verifica facciale, informazioni bancarie e finanziarie e cronologia delle transazioni.
Il caso assume particolare rilevanza proprio per la natura dei dati coinvolti. Non si tratta infatti soltanto di informazioni anagrafiche, ma anche di elementi che possono fornire un quadro dettagliato dell’identità finanziaria dei clienti e delle loro operazioni.
La vicenda ha inoltre sollevato interrogativi sulla provenienza della richiesta e sulle modalità con cui gli hacker sarebbero riusciti ad accedere a un account riconducibile a un’autorità pubblica.
Revolut, la pista italiana
Tra le ipotesi emerse dopo la diffusione della notizia c’è anche una possibile pista italiana. Secondo alcuni documenti circolati online e attribuiti a un canale Telegram che sembrerebbe essere collegato agli autori dell’attacco, l’indirizzo email utilizzato nella richiesta terminerebbe con @interno.it.
Le comunicazioni avrebbero quindi potuto essere inviate da un’infrastruttura riconducibile a un’istituzione italiana. Al momento, tuttavia, non risultano conferme ufficiali che consentano di attribuire l’attacco a uno specifico ente.
La richiesta avrebbe riguardato le «informazioni bancarie e finanziarie» relative agli account gestiti da Revolut Bank UAB, società bancaria con sede in Lituania, nell’ambito di una presunta indagine europea.
Intanto, alcune fonti indipendenti che seguono la sicurezza informatica hanno riferito che gli hacker avrebbero iniziato a diffondere parte dei dati sottratti, comprese alcune fotografie, aumentando la pressione sulla società.
La minaccia del riscatto
La violazione avrebbe assunto anche i contorni di un ricatto informatico. Gli autori dell’attacco avrebbero infatti minacciato di rendere pubblici ulteriori dati personali dei clienti se Revolut non avesse accettato di pagare un riscatto.
Tra le persone che avrebbero denunciato di essere state coinvolte figurano anche nomi noti del settore tecnologico e delle criptovalute. Secondo le informazioni circolate, alcuni clienti avrebbero ricevuto minacce legate ai dati sottratti anche prima che Revolut comunicasse ufficialmente l’incidente.
Questo elemento alimenta l’ipotesi che l’operazione possa essere andata avanti per diversi mesi prima di essere individuata.
Come sono entrati nell’account istituzionale
Resta da capire come sia stato possibile compromettere un account utilizzato per comunicazioni istituzionali. Secondo Ramilli, una delle possibilità è quella di un account takeover, ovvero il furto delle credenziali di un account legittimo da parte di un soggetto esterno.
«La posta elettronica potrebbe essere stata compromessa: esistono numerosi metodi, chiamati attack paths, per arrivare a questo risultato, l’account takeover», spiega l’esperto.
In questo scenario, gli hacker non avrebbero necessariamente dovuto creare da zero un’identità falsa. Sarebbe bastato ottenere il controllo di un account realmente appartenente a un ente pubblico per rendere molto più credibile la richiesta inviata a Revolut.
Un ulteriore elemento di vulnerabilità potrebbe essere legato proprio alla natura della posta elettronica istituzionale. Come osserva Ramilli, la PEC viene utilizzata soprattutto per comunicazioni ufficiali e attività legali e potrebbe quindi non essere sottoposta allo stesso livello di controllo quotidiano riservato agli account di posta elettronica personali.
Il caso Revolut riaccende l’allarme sulla sicurezza dei dati
L’incidente mette in evidenza un rischio sempre più rilevante per banche, fintech e piattaforme finanziarie: non è sufficiente proteggere i propri sistemi se un attacco riesce a sfruttare la fiducia nei confronti di un soggetto esterno apparentemente legittimo.
Il caso Revolut mostra infatti come una richiesta formalmente corretta e proveniente da un indirizzo autentico possa diventare uno strumento per ottenere informazioni estremamente sensibili. Per il settore finanziario, la sicurezza informatica si conferma quindi non soltanto una questione tecnologica, ma anche un elemento centrale per la protezione dei dati e la fiducia dei clienti.
