Un cybercriminale ha portato avanti un attacco ai dati di Revolut, sfruttando una falsa richiesta apparentemente proveniente da un’agenzia governativa. La fintech britannica ha confermato l’incidente, precisando però che non si è trattato di un’intrusione nei propri sistemi informatici.
Il meccanismo utilizzato dagli aggressori è particolarmente insidioso: le richieste fraudolente sono state inviate utilizzando un indirizzo appartenente al dominio email legittimo di un’agenzia governativa. Per questo motivo, i messaggi hanno superato i normali controlli tecnici e sono stati inizialmente considerati autentici.
Revolut ha successivamente scoperto che dietro le richieste c’era una parte non autorizzata e ha notificato direttamente gli utenti interessati. La società definisce l’episodio una sofisticata truffa di impersonificazione esterna.
Attacco a Revolut: quali dati sono stati divulgati
Il problema riguarda dati particolarmente delicati, perché non si limita alle semplici informazioni di contatto.
Secondo la comunicazione inviata da Revolut ai clienti coinvolti, tra le informazioni potenzialmente condivise con il soggetto non autorizzato figurano:
- nome e cognome;
- data di nascita;
- indirizzo di residenza;
- indirizzo email;
- numero di telefono;
- informazioni relative all’occupazione;
- copie di documenti di identità, come passaporto o patente;
- selfie utilizzati per la verifica dell’identità;
- dati relativi al conto;
- IBAN;
- estratti conto;
- informazioni sui prelievi;
- cronologia delle transazioni, comprese quelle in Bitcoin.
Non tutti i dati sarebbero necessariamente stati esposti dall’attacco per ogni cliente. Revolut ha infatti indicato agli utenti interessati quali informazioni riguardanti il loro specifico account potrebbero essere state divulgate.
Non è stato violato il sistema bancario di Revolut
Un elemento importante per comprendere l’accaduto è che gli aggressori non avrebbero effettuato un accesso diretto all’infrastruttura informatica di Revolut.
Non risultano compromessi i sistemi della fintech né i fondi dei clienti. Il problema si è verificato invece nel processo utilizzato per gestire le richieste di informazioni provenienti dalle autorità.
In sostanza, Revolut ha ricevuto una richiesta che sembrava provenire da un ente governativo reale e, ritenendola legittima, ha fornito le informazioni richieste. Solo successivamente la società ha stabilito che la richiesta era fraudolenta.
È proprio questo aspetto a rendere l’incidente particolarmente significativo dal punto di vista della sicurezza: non è stato necessario superare le difese della piattaforma per ottenere i dati, ma è stato sufficiente sfruttare la fiducia associata a un canale di comunicazione ufficiale.
Perché i controlli non hanno bloccato la truffa
Secondo quanto emerso, le email utilizzate dagli aggressori provenivano dal dominio autentico dell’agenzia governativa. Di conseguenza, i controlli tecnici normalmente impiegati per verificare l’autenticità del mittente non sono bastati a identificare la frode.
Il caso dimostra un limite importante dei sistemi di autenticazione delle email: verificare che un messaggio provenga effettivamente da un determinato dominio non significa necessariamente verificare che la persona che lo ha inviato sia autorizzata a richiedere quei dati.
Revolut non ha spiegato pubblicamente come il soggetto non autorizzato sia riuscito a utilizzare l’infrastruttura email dell’agenzia governativa. Non è inoltre stata resa nota l’identità dell’ente coinvolto.
Quanti clienti sono stati coinvolti?
Al momento non esiste un numero ufficiale definitivo.
Revolut ha parlato di un gruppo limitato di clienti e ha dichiarato di aver contattato direttamente tutte le persone interessate. L’azienda non ha però comunicato pubblicamente né il numero preciso degli utenti coinvolti né se l’incidente abbia riguardato uno specifico Paese o più mercati.
Il ricercatore di sicurezza e investigatore on-chain ZachXBT, che ha contribuito a portare l’episodio all’attenzione pubblica dopo aver condiviso informazioni relative alle comunicazioni inviate da Revolut, ha ipotizzato che l’operazione potesse essere indirizzata soprattutto verso clienti con patrimoni elevati. Si tratta tuttavia di una valutazione dell’investigatore e non di un dato ufficiale diffuso da Revolut.
Revolut ha avvisato autorità e clienti
Una volta individuata la frode, Revolut ha bloccato l’indirizzo utilizzato per le richieste e ha avvisato l’agenzia governativa interessata.
La società ha inoltre informato le autorità competenti, le forze dell’ordine, le autorità per la protezione dei dati e gli organismi di regolamentazione finanziaria. Gli utenti coinvolti sono stati contattati direttamente e informati dell’eventuale esposizione delle proprie informazioni.
Il fatto che non risultino sottratti fondi non elimina comunque i rischi associati alla diffusione di documenti di identità, dati anagrafici e informazioni finanziarie. Un insieme così dettagliato di informazioni può infatti essere utilizzato per tentativi di furto d’identità, frodi mirate e successive campagne di social engineering.
Un incidente delicato per la fintech
Il caso arriva in una fase importante per Revolut, che conta oltre 80 milioni di clienti a livello globale e sta continuando a espandere la propria attività bancaria in diversi mercati. La società ha inoltre ottenuto nei giorni scorsi l’approvazione condizionata negli Stati Uniti per la creazione di una banca nazionale.
L’incidente rappresenta quindi un problema di sicurezza e gestione dei dati, ma anche un episodio particolarmente delicato per una società che sta aumentando la propria presenza nel settore bancario.
Restano ancora diversi elementi da chiarire: l’identità dell’agenzia governativa coinvolta, le modalità con cui chi ha portato avanti l’attacco verso Revolut ha potuto utilizzare il suo dominio email, il numero definitivo degli utenti interessati e l’eventuale diffusione dei dati sottratti.
Per ora, l’elemento confermato da Revolut è che un soggetto non autorizzato è riuscito a ottenere informazioni sui clienti sfruttando una richiesta apparentemente legittima proveniente da un’infrastruttura governativa reale.
Fonte: https://www.punto-informatico.it/fintech/revolut-dati-clienti-falsa-agenzia-governativa/