Gli attaccanti di Revolut hanno iniziato nel weekend a diffondere online passaporti dei clienti e selfie usati per la verifica KYC, chiedendo un riscatto e promettendo nuovi leak ogni giorno finché la fintech non cederà.
Punti chiave:
- I criminali stanno pubblicando documenti d’identità e selfie dei clienti Revolut, annunciando rilasci giornalieri finché non verrà pagato un riscatto.
- Il materiale trapelato includerebbe passaporti, IBAN, storici dei prelievi e intere cronologie di trading.
- Revolut sostiene che sia stato colpito un numero molto limitato di clienti e che sistemi e fondi siano rimasti intatti.
La fuga di dati Revolut diventa pubblica
L’account di monitoraggio International Cyber Digest ha segnalato il 13 settembre che il gruppo aveva smesso di attendere il pagamento e aveva iniziato a riversare online i file di clienti molto noti. Nel primo lotto sono comparsi documenti d’identità e selfie di verifica. Lo stesso account ha riferito che gli attaccanti avevano inviato email a Revolut con richieste di informazioni prima di rendere pubblica la vicenda.
I documenti pubblicati appartengono al tennista Alexander Shevchenko e a Felix Römer, amministratore delegato del sito di gioco in criptovalute Gamdom. Testate del settore crypto hanno indicato una richiesta di 10.000 Bitcoin (BTC), pari a circa 780 milioni di dollari ai prezzi di lunedì, anche se altre fonti riferiscono che la cifra non è stata confermata ufficialmente.
Revolut ha rifiutato di commentare sul presunto ammontare del riscatto. Un portavoce ha dichiarato che l’infrastruttura centrale, i database e i conti dei clienti non sono stati compromessi.
Da leggere anche: ETF su XRP toccano il record di 1,7 miliardi di dollari nonostante 9 settimane di afflussi in controtendenza al prezzo
ZachXBT segnala il mirino sulle “balene”
L’investigatore on-chain ZachXBT ha diffuso su Telegram l’avviso inviato da Revolut ai clienti. In un successivo aggiornamento ha elencato diverse categorie di dati non menzionate nella comunicazione ufficiale: IBAN, storici dei prelievi, professioni e cronologie complete delle transazioni in Bitcoin. A suo giudizio la violazione sarebbe limitata nel numero di soggetti coinvolti ma focalizzata sui grandi patrimoni.
Revolut non ha confermato questa lettura e non ha dichiarato che i detentori di crypto siano stati presi di mira in modo specifico. I ricercatori avvertono che l’abbinamento fra l’immagine di un passaporto e una cronologia di trading completa abilita campagne di phishing mirato e analisi on-chain che partono dal nome reale dell’utente. Documenti d’identità e selfie per la verifica facciale aumentano inoltre il rischio di frodi per impersonificazione a carico di tutte le persone citate.
Come è nata la violazione di Revolut
L’origine dell’esposizione risale a una singola email inviata da una casella creata all’interno del dominio autentico di un’agenzia governativa, dotata di tutte le autenticazioni tecniche e in grado quindi di superare i controlli di Revolut. Per obbligo normativo, le banche devono rispondere alle richieste formali delle autorità e il messaggio appariva in tutto e per tutto come tale.
Copie dell’avviso ai clienti hanno iniziato a circolare il 12 settembre, quando Revolut ha definito l’episodio una sofisticata truffa di impersonificazione esterna e ha dichiarato di aver informato autorità di vigilanza e forze dell’ordine.
Nella stessa giornata Mark Karpelès, ex amministratore delegato di Mt. Gox, ha pubblicato il proprio avviso personale. La società non ha ancora reso noto il numero dei clienti impattati. Revolut serve oltre 80 milioni di utenti in 30 Paesi e sta portando avanti una vendita secondaria di azioni che la valuta intorno a 115 miliardi di dollari.
Prossima lettura: Sam Altman esclude una IPO OpenAI nel 2026 e punta il dito sul lavoro sulla sicurezza dell’AI
