REVOLUT, UNA DELLE PRINCIPALI APP FINANZIARIE DEL MONDO, SI È FATTA “FREGARE”: HA CONSEGNATO DATI FINANZIARI E PERSONALI DI ALCUNI CLIENTI A DEI TRUFFATORI CHE SI ERANO PRESENTATI COME MEMBRI DI UN’AUTORITÀ PUBBLICA - I CYBERCRIMINALI HANNO UTILIZZATO UN ACCOUNT CREATO ALL’INTERNO DEL VERO DOMINIO EMAIL DI UN ENTE GOVERNATIVO PER INGANNARE LA FINTECH – TRA I DATI POTENZIALMENTE ESPOSTI CI SONO DOCUMENTI D’IDENTITÀ, SELFIE, IBAN, ESTRATTI CONTO E CRONOLOGIA DELLE TRANSAZIONI – NON SONO NOTI NÉ L’ENTE GOVERNATIVO UTILIZZATO PER LA FRODE NÉ IL NUMERO DEI CLIENTI COLPITI, E NON È CHIARO SE TRA LORO CI SIANO ITALIANI…

Estratto dell’articolo di Bruno Ruffilli per www.lastampa.it

revolut - investimenti e servizi bancari

Non è stato necessario violare i sistemi di Revolut per avere accesso ai dati più sensibili conservati dalla banca digitale. È bastato presentarsi come un'autorità pubblica, utilizzando però un indirizzo appartenente realmente al dominio email di un ente governativo.

Revolut ha confermato di aver comunicato informazioni personali e finanziarie di alcuni clienti a una terza parte non autorizzata, dopo aver ricevuto richieste fraudolente che apparivano provenire da un'agenzia governativa. La società ha definito l'episodio un "sofisticato attacco esterno di impersonificazione". In altri termini, un caso di phishing molto ben realizzato.

UNA RICHIESTA DAL DOMINIO UFFICIALE

revolut - investimenti e servizi bancari

[…] Secondo la comunicazione inviata da Revolut ai clienti coinvolti, la richiesta sarebbe partita da un account email non autorizzato creato direttamente all'interno dell'infrastruttura del dominio ufficiale di un ente governativo e dotato di credenziali di autenticazione valide. Revolut avrebbe quindi fornito le informazioni ritenendo che la richiesta provenisse realmente dall'autorità. […]

I DATI CONSEGNATI

[…] Secondo le notifiche inviate agli utenti e le informazioni riportate dalle testate che hanno ricostruito il caso, possono comprendere nome e cognome, data di nascita, indirizzo postale, email, numero di telefono e copie dei documenti utilizzati per verificare l'identità, tra cui passaporto e patente. In alcuni casi sarebbero stati esposti anche i selfie utilizzati durante la verifica dell'identità, gli estratti conto e la cronologia delle transazioni. Tra i dati potenzialmente trasmessi anche IBAN, registrazioni dei prelievi e cronologie complete delle operazioni, comprese quelle relative a Bitcoin. […]

revolut - investimenti e servizi bancari

I SISTEMI DI REVOLUT NON SONO STATI VIOLATI

Una volta individuato il problema, Revolut afferma di aver bloccato l'indirizzo utilizzato per le richieste e di aver informato l'agenzia governativa interessata, le forze dell'ordine, le autorità per la protezione dei dati e i regolatori finanziari. "I sistemi Revolut e i fondi dei clienti non sono stati coinvolti", ha precisato un portavoce della società. In base alle informazioni disponibili, non ci sono indicazioni che gli aggressori siano penetrati nell'infrastruttura informatica della fintech o abbiano avuto accesso diretto ai conti.

Revolut non ha identificato l'agenzia governativa il cui dominio è stato utilizzato e non ha spiegato quanto tempo sia trascorso tra la consegna dei dati e la scoperta della frode. […]

revolut - investimenti e servizi bancari

CINQUE MILIONI DI CLIENTI IN ITALIA

La società non ha comunicato nemmeno quanti clienti siano stati coinvolti, limitandosi a parlare di un numero "limitato". Non è stato chiarito, poi, se le persone interessate appartengano tutte allo stesso Paese o se tra loro ci siano clienti italiani. Un dettaglio particolarmente rilevante per l'Italia, dove Revolut ha raggiunto 5 milioni di clienti. […]

Le email provenivano dal vero dominio di un ente pubblico. Tra le informazioni esposte documenti d’identità, selfie, IBAN e cronologia delle transazioni. Non è noto se siano coinvolti clienti italiani.

revolut - investimenti e servizi bancari