Revolut ha confermato che dei truffatori hanno raggirato la piattaforma ottenendo dati dei clienti, tra cui informazioni che, secondo le stesse comunicazioni di Revolut, riguardano passaporti, selfie di verifica e registri delle transazioni in Bitcoin.
La richiesta proveniva da un dominio email ufficiale di un’agenzia governativa, con credenziali valide. Revolut l’ha considerata autentica e ha rilasciato i dati.
Cosa dice Revolut su quanto accaduto
Un portavoce di Revolut ha spiegato a BeInCrypto che la banca ha bloccato il mittente non appena ha individuato il problema.
“Revolut ha recentemente individuato un attacco di impersonificazione esterna sofisticato, durante il quale una terza parte non autorizzata ha sfruttato un dominio email legittimo di un’agenzia governativa per inviare richieste fraudolente di informazioni… I sistemi Revolut e i fondi dei clienti non sono stati compromessi.”
L’azienda dichiara di aver avvisato l’agenzia coinvolta, la polizia e le autorità di regolamentazione dei dati e finanziarie. Ha inoltre contattato quello che definisce il numero limitato di persone coinvolte.
I conti Revolut sono sicuri?
Secondo Revolut i conti restano sicuri. Questo è vero. I codici di accesso, i dati di login e le informazioni biometriche non sono mai stati esposti, ha spiegato la banca a BeInCrypto. Nessun movimento di denaro è avvenuto.
Le comunicazioni inviate ai clienti lo specificano con termini diversi. Dicono che il selfie di verifica è stato inviato, ed escludono solo la telemetria biometrica facciale, cioè il modello del volto creato dal sistema a partire dalla foto. La foto in sé è un altro discorso.
Queste comunicazioni elencano il resto. Passaporti, patenti, indirizzi di casa, estratti conto bancari. Un registro completo dei movimenti di Bitcoin in entrata e uscita.
Revolut non rivela quale dominio di agenzia sia stato utilizzato, citando le indagini della polizia ancora in corso. Nessuno al di fuori dell’azienda sa quindi se una casella governativa sia stata violata oppure se qualcuno già all’interno l’abbia usata per inviare la richiesta.
L’investigatore blockchain ZachXBT, che si occupa di tracciare crypto rubate, ha segnalato la fuga di dati, evidenziando che ha colpito un gruppo ristretto di utenti e sembrava indirizzata ai più facoltosi.
Liste di clienti sottratte sono già state utilizzate a seguito di violazioni per rischi di phishing. L’indirizzo di casa trapelato è stato in passato la premessa per attacchi violenti contro i possessori.
Revolut ha definito questo episodio un attacco sofisticato. Ma stando al suo stesso racconto, l’attaccante ha utilizzato un sistema email governativo legittimo per inviare una richiesta fraudolenta. Revolut ha accettato quella richiesta come autentica e ha rilasciato i dati.
