Revolut: dati dei clienti ottenuti con false richieste governative inviate da un dominio vero

Revolut ha confermato una violazione di dati causata da richieste fraudolente presentate come comunicazioni ufficiali di un’autorità governativa.

L’episodio non risulta legato a un’intrusione diretta nei sistemi della fintech, ma all’abuso di una procedura utilizzata per gestire richieste esterne di informazioni sui clienti. Secondo TechCrunch, la società ha informato gli utenti interessati e ha dichiarato che i fondi dei clienti non sono stati compromessi. La vicenda mostra un rischio specifico per i servizi finanziari digitali: una richiesta apparentemente autorevole può diventare un vettore di esposizione dei dati quando i controlli sull’autenticità e sull’autorizzazione non risultano sufficientemente robusti.

La falsa richiesta sfruttava un dominio governativo

Secondo la ricostruzione di Revolut, il responsabile dell’operazione ha utilizzato un indirizzo appartenente al dominio email di una reale agenzia governativa. La società ha definito l’accaduto una sofisticata forma di impersonificazione e, una volta individuata l’attività fraudolenta, ha bloccato l’indirizzo coinvolto. Revolut ha inoltre informato l’agenzia interessata, le forze dell’ordine e gli organismi regolatori competenti.

Il meccanismo è particolarmente rilevante perché non richiede necessariamente l’accesso abusivo all’infrastruttura informatica della vittima. Una comunicazione proveniente da un dominio autentico può infatti apparire legittima anche quando la singola richiesta non è stata autorizzata dall’organizzazione titolare dell’indirizzo. La verifica dovrebbe quindi considerare sia l’identità del mittente sia la validità della richiesta prima di autorizzare la trasmissione di informazioni riservate.

Tra i dati potenzialmente coinvolti figurano informazioni personali, documenti utilizzati per la verifica dell’identità, selfie, estratti conto e cronologia delle transazioni. La ricostruzione pubblicata da NullTX, basata sulle informazioni diffuse da ZachXBT, cita inoltre IBAN, indirizzi di residenza e altri dati finanziari.

ZachXBT segnala possibili vittime ad alto patrimonio

ZachXBT ha portato l’episodio all’attenzione pubblica attraverso il proprio canale Telegram, indicando un possibile interesse verso clienti con patrimoni elevati. L’ipotesi è rilevante perché la disponibilità combinata di documenti identificativi e informazioni finanziarie può rendere più efficaci successive attività di impersonificazione o campagne di spear phishing.

Il materiale ottenuto potrebbe infatti consentire di costruire comunicazioni personalizzate sfruttando informazioni autentiche sulla vittima. Non significa però che tali conseguenze si siano già verificate: la natura dei dati esposti rappresenta un potenziale fattore di rischio, mentre gli accertamenti sull’utilizzo successivo delle informazioni restano separati dall’evento iniziale.

Revolut ha precisato che i fondi dei clienti non risultano compromessi. L’incidente riguarda quindi l’acquisizione di informazioni attraverso richieste fraudolente e non un accesso diretto ai conti per effettuare operazioni finanziarie non autorizzate. La società ha avviato le verifiche e coinvolto le autorità competenti.

La vicenda evidenzia infine un limite importante nei processi di gestione delle richieste istituzionali: l’autenticità tecnica di un indirizzo non è sufficiente a dimostrare l’autorizzazione di una specifica domanda. Per gli operatori finanziari, la verifica dell’identità del richiedente, dello scopo della richiesta e della quantità di dati necessaria resta quindi essenziale per ridurre il rischio di divulgazioni indebite.