Revolut consegnò i tuoi dati ai truffatori senza subire alcun attacco informatico

Revolut non è stata hackerata. Nessuno ha violato i suoi firewall o trovato una vulnerabilità nel suo codice. Invece, un attaccante ha impersonato un’autorità governativa utilizzando un indirizzo email con un dominio ufficiale legittimo, ha presentato una richiesta di divulgazione di dati che i controlli di verifica di Revolut hanno accettato come genuina, e se n’è andato con documenti d’identità completi, copie di passaporti, selfie di onboarding e la cronologia completa dell’account degli utenti coinvolti — incluse tutte le transazioni Bitcoin registrate.

L’attacco ha sfruttato un obbligo legale, non un difetto software. Le piattaforme finanziarie sono tenute per legge a rispondere a richieste ufficiali di dati da parte di enti governativi e forze dell’ordine. Contraffando queste richieste in modo abbastanza convincente da superare la revisione di Revolut, l’attaccante ha trasformato un processo di conformità progettato per proteggere il pubblico nel meccanismo di un furto di dati. Revolut ha dichiarato di aver tentato in modo indipendente di validare la richiesta con l’autorità competente, ma l’impersonificazione è stata scoperta solo dopo che i dati erano già stati condivisi.

Per chiunque abbia un account incluso, l’esposizione è più profonda di una violazione standard. I dati rubati collegano identità verificate complete — nomi legali, date di nascita, indirizzi di casa, copie di passaporti o patenti di guida, e i selfie inviati durante la verifica dell’account — a riferimenti di portafogli Bitcoin e registrazioni complete delle transazioni on-chain. Questa combinazione non scade. Anche se gli utenti colpiti aprono nuovi portafogli, chiunque abbia i dati divulgati può tracciare i loro movimenti precedenti di criptovalute fino a un’identità reale confermata, in modo permanente.

Revolut ha dichiarato che non è stata coinvolta alcuna telemetria biometrica facciale — i modelli derivati dal sistema utilizzati per il riconoscimento automatico del volto — solo la fotografia grezza scattata durante l’onboarding. I fondi dei clienti non sono stati intaccati. L’azienda ha bloccato l’indirizzo email fraudolento, ha notificato l’autorità governativa di cui era stata copiata l’identità, ha allertato le forze dell’ordine e ha presentato le segnalazioni normative richieste. Se i regolatori europei della protezione dei dati considereranno adeguata questa risposta è una questione aperta: il GDPR impone obblighi rigorosi su come le aziende gestiscono e proteggono il tipo di documenti d’identità che sono stati sottratti.

L’incidente evidenzia una categoria di attacco che la sola sicurezza tecnica non può prevenire. Un’azienda può crittografare i suoi database, controllare le sue API e eseguire test di penetrazione — e può comunque essere ingannata tramite ingegneria sociale attraverso le procedure che è legalmente obbligata a seguire. Il problema non è il codice di Revolut. È la questione irrisolta di come qualsiasi organizzazione verifichi che una richiesta con marcature ufficiali provenga effettivamente dal funzionario che dichiara di rappresentare.

Revolut ha notificato direttamente i clienti coinvolti e non ha divulgato il numero totale di account interessati né i mercati specifici in cui è avvenuta l’esposizione. Per chiunque abbia ricevuto una notifica di violazione, i documenti d’identità nelle mani di truffatori aprono la porta a frodi che vanno ben oltre la piattaforma stessa — uso fraudolento di passaporti, chiamate di phishing che fanno riferimento a dettagli reali dell’account, furto d’identità attraverso servizi finanziari. E il registro Bitcoin è un tipo diverso di problema: Revolut può reimpostare una password, ma nessuno può reimpostare la blockchain.

Tag: fintech, data breach, Revolut, social engineering