Revolut è finita al centro dell’attenzione mediatica per un singolare caso di esfiltrazione di dati che non è nato da una falla informatica nei suoi sistemi, ma da un sofisticato raggiro di ingegneria sociale.
Cosa è successo davvero
I malintenzionati non hanno violato le infrastrutture né i server della fintech britannica. Hanno invece sfruttato un canale ufficiale per trarre in inganno gli operatori:
-
L’inganno via PEC: I cybercriminali si sono impadroniti di un indirizzo di Posta Elettronica Certificata (PEC) appartenente a un’agenzia governativa/forza dell’ordine italiana.
-
Le finti richieste legali: Utilizzando questa PEC compromessa, gli hacker hanno inviato formali richieste di informazioni a Revolut, spacciandosi per autorità inquirenti impegnate in un’indagine.
-
La consegna dei dati: Poiché le comunicazioni provenivano da un dominio governativo autentico e tecnicamente valido, il team di Revolut ha gestito la procedura come una normale risposta a un’ingiunzione di legge, consegnando un pacchetto di dati sensibili da circa 60 MB.
Chi è stato colpito e quali dati sono usciti
L’incidente riguarda circa 680 clienti selezionati, principalmente soggetti ad alto profilo patrimoniale (tra cui figurerebbero anche noti personaggi del mondo cripto).
| Dati Compromessi | Dati Rimasti al Sicuro |
| Dati anagrafici (Nomi, date di nascita, indirizzi) | Password e codici PIN |
| Copie di passaporti e documenti | Credenziali d’accesso all’app |
| Storico delle transazioni e saldi | Fondi e saldi bancari (intatti) |
I criminali informatici (che si firmano con la sigla iamnotavillain) hanno successivamente tentato un’estorsione chiedendo un riscatto di 3 milioni di dollari sotto minaccia di vendere i dati nel dark web. Revolut ha dichiarato di non aver avviato alcuna trattativa, confermando che i fondi e le credenziali di tutti i clienti rimangono del tutto sicuri.
Quali sono i rischi per gli utenti
Sebbene i conti non siano accessibili direttamente, i 680 utenti coinvolti (già avvisati individualmente da Revolut) corrono forti rischi indiretti:
-
Trafugamento d’identità: L’abbinamento tra documenti ufficiali e saldi di conto rende i soggetti vulnerabili a furti d’identità.
-
Spear Phishing e Vishing: Gli attaccanti possono orchestrare truffe mirate via SMS o chiamate call-center estremamente credibili, citando dati reali dell’utente (transazioni recenti, indirizzo) per farsi consegnare le credenziali dell’home banking.
L’episodio ha sollevato forti polemiche in tutta Europa sui protocolli di verifica che le banche fintech utilizzano per convalidare le richieste d’accesso ai dati inoltrate dalle forze dell’ordine.