Revolut è rimasta vittima di una clamorosa campagna di scam, confermando di aver trasmesso informazioni riservate riguardanti una parte dei propri clienti a un soggetto non autorizzato, dopo una richiesta arrivata da un account non autorizzato, ma registrato sul dominio email reale di un'agenzia governativa non meglio specificata.
Poiché il messaggio portava credenziali di autenticazione del dominio valide, la società ha abboccato al tranello evadendo la richiesta e ritenendola legittima, prima di scoprire che si trattava di un inganno.
Ma il data breach è stato clamoroso per la modalità con cui è stato messo a segno. Sembra infatti che la truffa sia proseguita per circa 5 mesi con richieste spalmate su più periodi prima di essere scoperta.
Nella notifica inviata ai clienti coinvolti, Revolut ha elencato i dati personali che sono stati esposti, ovvero nome e cognome, data di nascita e occupazione; indirizzo postale, email e numero di telefono, copia di passaporto o altro documento d’identità e selfie di verifica, nonché informazioni bancarie come estratti conto con IBAN, prelievi e cronologia completa delle transazioni, inclusi i movimenti in Bitcoin.
A diffondere le email su Telegram è stato ZachXBT, pseudonimo di un investigatore indipendente che traccia le transazioni sulle blockchain per ricostruire furti e truffe di phishing. Secondo il ricercatore l'episodio sarebbe limitato ma mirato a clienti con patrimoni elevati.
Revolut ha confermato la violazione dei dati sensibili alla Reuters, anche se i clienti coinvolti sarebbero un numero "limitato" (si stima poco meno di 700 persone) e sono stati contattati singolarmente dalla società finanziaria britannica, senza però precisare la cifra né l'agenzia impersonata. Revolut ha affermato anche di aver bloccato l'indirizzo email non appena scoperta la truffa, di aver avvertito l'agenzia governativa reale, le forze dell'ordine e i regolatori, e che sistemi e fondi dei clienti non risultano compromessi.
Nel frattempo, l'hacker ha iniziato a mostrarli su un canale Telegram, promettendo di rendere pubblici anche messaggi interni e dettagli sul funzionamento del team di sicurezza di Revolut, e chiedendo un riscatto di circa 3 milioni di dollari in criptovalute per evitare la pubblicazione dei dati sottratti.
Il primo nome associato pubblicamente a un dossier sarebbe quello di Felix Römer, fondatore del casinò crypto Gamdom e della piattaforma Skins.cash. Gli autori delle pubblicazioni avrebbero diffuso quello che definiscono il suo fascicolo KYC (Know Your Customer) completo.
Un altro nome messo in evidenza sarebbe quello del tennista Alexander Shevchenko. Altri clienti avevano già confermato in precedenza di aver ricevuto l'email ufficiale di Revolut sull'incidente, tra cui Marc Zeller, Nikhil Foster e Mark Karpelès, ex responsabile della piattaforma di scambio Mt. Gox.
Proprio Karpelès ha pubblicato su X un suo messaggio corredato da uno screenshot, dicendo di aver individuato tra i materiali diffusi dagli attaccanti un file msg.eml da quasi 60 MB, ovvero una mail comprensiva di intestazioni, corpo e allegati, trasmessa attraverso una PEC italiana. Il file era protetto da password, non inclusa nello stesso messaggio ma arrivata, secondo Karpelès, in un'email successiva. Lo strumento di posta certificata italiana con valore legale è stato probabilmente uno degli elementi che ha persuaso Revolut che si stesse trovando di fronte a una richiesta legittima.
Fonte: FEDERPRIVACY