Revolut ha subito una violazione dei dati causata da richieste fraudolente di informazioni, mascherate da email di agenzie governative legittime. L'attacco ha esposto dati sensibili di un numero limitato di clienti, sollevando interrogativi sui controlli di verifica.
La nota fintech Revolut ha recentemente confermato di essere stata vittima di una violazione dei dati che ha interessato una parte della sua clientela. L'incidente, avvenuto a seguito di richieste di informazioni fraudolente, ha visto un attore malevolo ottenere accesso a dati sensibili dei clienti.
Secondo quanto comunicato da Revolut, l'attacco è stato perpetrato attraverso l'invio di richieste di informazioni apparentemente legittime, utilizzando un dominio email riconducibile a un'agenzia governativa. Questa tecnica è stata definita dall'azienda come una "sofisticata truffa di impersonificazione esterna". Le richieste malevole presentavano le corrette autenticazioni tecniche, portando i dipendenti di Revolut, nel rispetto delle procedure di conformità legale, a divulgare le informazioni richieste.
L'azienda ha sottolineato che solo un "gruppo molto limitato di clienti" è stato coinvolto e che i sistemi interni e i fondi dei clienti sono rimasti intatti. Non sono stati forniti dettagli specifici sul numero esatto di clienti interessati o sui mercati geografici o dipartimenti aziendali coinvolti.
Le informazioni trapelate, secondo quanto segnalato da ricercatori di sicurezza indipendenti e confermato indirettamente da Revolut, includono dati personali quali nomi completi, date di nascita, indirizzi di residenza, numeri di telefono, indirizzi email e professioni. Ancora più preoccupante è l'esposizione di copie di documenti d'identità governativi, come passaporti e patenti di guida, e selfie di verifica utilizzati per la convalida dell'identità.
Inoltre, sono emerse preoccupazioni riguardo all'esposizione di dati finanziari, tra cui codici IBAN, date di apertura dei conti, cronologie complete delle transazioni e dei prelievi, e numeri di riferimento dei portafogli Bitcoin. Esperti di sicurezza hanno descritto il set di dati compromesso come un "kit completo per il furto d'identità", data la sua completezza e il potenziale di abuso.
L'incidente ha sollevato interrogativi significativi sull'adeguatezza dei controlli di verifica implementati da Revolut. Muhammad Yahya Patel, vCISO e consulente di cybersecurity presso Huntress, ha evidenziato come, per un'azienda fintech basata sulla verifica digitale dell'identità, il livello di scrutinio per le richieste di dati da terze parti dovrebbe essere eccezionalmente elevato. La domanda fondamentale, secondo Patel, è perché un'istituzione finanziaria regolamentata, che gestisce dati altamente sensibili, non disponesse di controlli di verifica sufficientemente rigorosi da intercettare questa truffa.
Nonostante Revolut abbia assicurato che i fondi e i sistemi non sono stati compromessi, gli esperti avvertono che le informazioni esposte possono essere sfruttate per commettere frodi d'identità e attacchi di phishing altamente mirati. I clienti interessati sono stati avvisati di prestare particolare attenzione a chiamate, email o messaggi inaspettati che pretendono di provenire da Revolut, da enti governativi o da altre organizzazioni fidate.
Si raccomanda vivamente di non divulgare mai password, codici di sicurezza o codici di autenticazione monouso e di contattare Revolut esclusivamente tramite l'app ufficiale o il sito web verificato. Gli esperti consigliano inoltre a tutti gli utenti di servizi finanziari digitali, anche quelli non direttamente colpiti da questa violazione, di adottare misure di sicurezza proattive. Queste includono l'abilitazione dell'autenticazione a più fattori (MFA), l'utilizzo di password uniche e complesse, il monitoraggio costante degli account e dei rapporti di credito per attività sospette e la segnalazione tempestiva di qualsiasi potenziale abuso d'identità alle autorità competenti.
Revolut ha dichiarato di aver immediatamente bloccato l'indirizzo email malevolo non appena rilevata la compromissione, di aver notificato i clienti interessati e di aver allertato le agenzie governative competenti, le forze dell'ordine e le autorità di regolamentazione della protezione dei dati e del settore finanziario.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
