La fintech ha risposto a una falsa richiesta di informazioni proveniente da un indirizzo che utilizzava il dominio ufficiale di un’agenzia governativa. L’incidente avrebbe coinvolto un numero limitato di clienti, ma i dati divulgati comprendono documenti d’identità e informazioni dettagliate sulle attività in criptovalute.
Revolut ha confermato un incidente di sicurezza che ha portato alla divulgazione di dati sensibili dei propri clienti in seguito a una sofisticata truffa basata sull’impersonificazione di un’autorità governativa.
Secondo le informazioni diffuse dall’investigatore crypto ZachXBT, la società fintech avrebbe ricevuto una richiesta di accesso ai dati dei clienti apparentemente riconducibile a un’agenzia governativa. La comunicazione proveniva tuttavia da un account non autorizzato che utilizzava il dominio email ufficiale dell’ente.
La richiesta sembrava autentica
Il punto centrale dell’attacco è stato proprio l’utilizzo di un dominio governativo legittimo. I sistemi di autenticazione associati al messaggio facevano apparire la comunicazione come proveniente da una fonte affidabile.
Convinta della legittimità della richiesta, Revolut ha quindi fornito le informazioni richieste.
Il caso mette in evidenza uno dei rischi più complessi per le aziende che gestiscono grandi quantità di dati finanziari e personali: anche sistemi di verifica tecnicamente validi possono essere aggirati quando un aggressore riesce a sfruttare l’identità e i canali digitali di un’organizzazione legittima.
Quali dati dei clienti sono stati esposti
La quantità e la tipologia delle informazioni coinvolte rendono l’incidente particolarmente delicato.
Secondo la comunicazione inviata ai clienti interessati, i dati esposti potrebbero comprendere:
nome e cognome;
data di nascita;
professione;
indirizzo postale;
numero di telefono;
indirizzo email;
copia del passaporto o della patente;
selfie utilizzato durante la procedura di verifica dell’identità;
estratti conto;
IBAN e numeri di riferimento dei wallet;
informazioni sui prelievi;
cronologia completa delle transazioni;
dati relativi alle operazioni in Bitcoin.
Revolut ha precisato che nell’incidente non sarebbero stati coinvolti i dati biometrici utilizzati per la telemetria facciale.
Preoccupazione per gli utenti che possiedono Bitcoin
La divulgazione della cronologia delle transazioni rappresenta uno degli aspetti più preoccupanti per gli utenti che detengono criptovalute.
Conoscere l’identità di una persona, i suoi documenti, i dati di contatto e, allo stesso tempo, la sua attività finanziaria e le operazioni effettuate in Bitcoin può creare un profilo estremamente dettagliato del cliente.
Il problema assume ulteriore rilevanza alla luce dell’aumento degli attacchi fisici contro persone note per possedere criptovalute. Questi episodi, spesso definiti “wrench attack”, sfruttano proprio le informazioni che consentono di collegare un’identità reale alla disponibilità di asset digitali.
ZachXBT ha affermato che l’incidente Revolut sembrerebbe aver interessato in particolare utenti con un patrimonio elevato, aumentando i timori sulle possibili conseguenze della fuga di informazioni.
Revolut: “Una sofisticata truffa di impersonificazione”
Interpellata sulla vicenda, Revolut ha descritto l’episodio come una “sofisticata truffa esterna di impersonificazione”, nella quale un soggetto non autorizzato avrebbe utilizzato l’indirizzo email di un dominio governativo legittimo per inviare richieste fraudolente di informazioni.
La società ha dichiarato che il numero di clienti coinvolti è “limitato”.
Revolut ha inoltre affermato di aver bloccato l’indirizzo email utilizzato nell’operazione e di aver informato l’agenzia governativa interessata, le autorità giudiziarie e gli organismi di regolamentazione.
Secondo la società, i sistemi informatici e i fondi dei clienti non sarebbero stati compromessi.
L’azienda non ha però comunicato il numero esatto delle persone coinvolte né ha rivelato quale agenzia governativa sia stata utilizzata dagli autori della truffa.
Il caso riaccende il dibattito sul KYC
La vicenda ha provocato reazioni anche all’interno della comunità crypto, soprattutto per la quantità di informazioni raccolte attraverso le procedure Know Your Customer (KYC).
Alcuni utenti hanno criticato sui social network l’ampiezza dei dati personali raccolti dagli intermediari finanziari e crypto, sostenendo che la concentrazione di documenti d’identità, informazioni finanziarie e cronologia delle transazioni possa trasformarsi in un rischio quando questi dati vengono compromessi.
Il caso Revolut dimostra infatti che il problema della sicurezza non riguarda esclusivamente la protezione dei fondi. Anche le informazioni utilizzate per verificare l’identità dei clienti possono avere un valore significativo per i criminali.
Una serie di incidenti nel settore
L’incidente arriva in un periodo particolarmente delicato per la sicurezza dei dati degli utenti.
Recentemente anche Trezor, produttore di hardware wallet, è stato coinvolto in una violazione relativa a un fornitore di servizi di assistenza, con un’esposizione di dati che avrebbe riguardato decine di migliaia di clienti.
Anche X è stato recentemente associato a un episodio di sicurezza che ha provocato un’ondata di richieste di reimpostazione delle password tra gli utenti.
La crescente quantità di informazioni personali collegata agli asset digitali sta quindi diventando un obiettivo sempre più interessante per i criminali informatici.
Per gli utenti, la protezione non riguarda più soltanto seed phrase, password e chiavi private: anche l’identità del proprietario e la quantità di Bitcoin posseduti possono rappresentare informazioni sensibili da tutelare.
Revolut, che quest’anno ha lanciato anche la stablecoin ancorata all’euro EURR, si trova intanto in una fase di espansione del proprio business e sta valutando un’eventuale quotazione in Borsa.
L’incidente sulla gestione delle richieste governative rappresenta quindi un nuovo banco di prova per la sicurezza e la protezione dei dati personali degli utenti della fintech.