Un attacco hacker ha portato Revolut a consegnare i dati personali e finanziari di circa 700 clienti a un gruppo di criminali informatici. Gli aggressori, però, non hanno violato direttamente i sistemi della fintech: secondo le ricostruzioni, hanno utilizzato una vera casella Pec delle forze dell’ordine italiane, alla quale sarebbero riusciti ad accedere, per inviare una richiesta che appariva ufficiale.
Revolut ha confermato l’incidente il 12 settembre, definendolo una sofisticata truffa. Il numero esatto dei clienti coinvolti non è stato comunicato dalla società, ma il Financial Times parla di 680 persone. La fintech, che conta oltre 80 milioni di clienti nel mondo e più di 5 milioni in Italia, ha assicurato che i suoi sistemi non sono stati compromessi e che dai conti non è stato sottratto denaro.
Quali dati dei clienti Revolut sono stati esposti
La richiesta avrebbe portato alla consegna di informazioni particolarmente sensibili: nomi, indirizzi, numeri di telefono ed email, copie di passaporti e patenti, fotografie e selfie utilizzati per verificare l’identità. Sarebbero finiti agli aggressori anche Iban, estratti conto, movimenti, prelievi e cronologia delle transazioni, comprese quelle in bitcoin.
Tra i clienti coinvolti ci sarebbero il calciatore del Barcellona Georges Mikautadze, il tennista kazako Alexandr Shevchenko, Mark Karpelès, ex amministratore delegato di Mt. Gox, e Marc Zeller. Karpelès ha raccontato di aver ricevuto la comunicazione di Revolut alle 5.25 del 12 settembre, pensando inizialmente a un altro tentativo di truffa. È stato riportato anche il caso dell’imprenditore Felix Romer, che avrebbe ricevuto minacce di estorsione legate ai suoi dati rubati prima che Revolut informasse i clienti dell’incidente.
La società ha bloccato l’indirizzo utilizzato per la richiesta e ha informato autorità, forze dell’ordine, autorità per la protezione dei dati e regolatori finanziari.
Come hanno fatto gli hacker a ingannare Revolut
La ricostruzione dell’attacco ruota attorno alla casella di posta. Il gruppo che si fa chiamare IAmNotAVillain sostiene di aver compromesso, circa sei mesi fa, un account con dominio @pec.interno.it, riconducibile al ministero dell’Interno.
Da quella casella sarebbe partita una richiesta alla sede lituana di Revolut per ottenere informazioni sui clienti nell’ambito di una presunta indagine della Procura di Milano. La comunicazione avrebbe fatto riferimento anche all’ordine europeo di indagine, lo strumento che permette alle autorità giudiziarie di un Paese dell’Unione europea di chiedere prove e informazioni che si trovano in un altro Stato.
La richiesta, quindi, non sarebbe stata soltanto inviata da un indirizzo istituzionale autentico, ma avrebbe avuto anche una motivazione apparentemente legittima. Secondo le ricostruzioni, Revolut avrebbe risposto fornendo i dati senza contattare direttamente le forze dell’ordine per verificare la richiesta. Il ministero dell’Interno non ha finora confermato pubblicamente la violazione.
Gli hacker sostengono di avere altri dati italiani
IAmNotAVillain afferma inoltre di aver avuto accesso per mesi a sistemi delle autorità italiane e di aver raccolto oltre 87 mila file, per circa 147 gigabyte, tra documenti, email e informazioni personali. Il gruppo sostiene di essere in possesso di altro materiale e minaccia di pubblicarlo in caso di mancato pagamento di un riscatto.
Si tratta però di affermazioni degli aggressori, non ancora verificate in modo indipendente. Anche il presunto movente legato alle procedure Kyc, cioè i controlli con cui le società finanziarie verificano l’identità dei clienti, è stato indicato dallo stesso gruppo.
Intanto sono partite le verifiche delle autorità. Martedì 15 settembre l’Information Commissioner’s Office britannico ha annunciato un’indagine dopo la segnalazione di Revolut. In Italia, la deputata di Azione Giulia Pastorella ha annunciato un’interrogazione per chiedere quante altre richieste possano essere partite dalla stessa casella Pec e se altre aziende siano state coinvolte.
