Gli attaccanti di Revolut hanno iniziato nel weekend a pubblicare online copie di passaporti dei clienti e selfie usati per la verifica KYC, accompagnando i leak con una richiesta di riscatto e la promessa di nuovi rilasci quotidiani finché la fintech non cederà.
Punti chiave:
- I criminali hanno iniziato a diffondere documenti d’identità e selfie dei clienti Revolut, promettendo pubblicazioni giornaliere finché non sarà pagato un riscatto.
- Tra i dati trapelati figurano, secondo le ricostruzioni, passaporti, IBAN, registri dei prelievi e storici completi delle operazioni di trading.
- Revolut sostiene che solo un numero molto limitato di clienti sia stato coinvolto e che sistemi informatici e fondi non siano stati toccati.
La fuga di dati Revolut diventa pubblica
L’account di monitoraggio International Cyber Digest ha segnalato il 13 settembre che il gruppo non stava più attendendo il pagamento e aveva iniziato a riversare online i file relativi a alcuni clienti molto noti. Il primo lotto comprendeva documenti d’identità e selfie di verifica. Lo stesso account ha riferito che gli aggressori avevano in precedenza contattato Revolut via email, formulando richieste di informazioni prima di rendere pubblica la vicenda.
Quei documenti erano riconducibili al tennista Alexander Shevchenko e a Felix Römer, amministratore delegato del sito di crypto gambling Gamdom. Testate specializzate in criptovalute hanno indicato una richiesta di 10.000 Bitcoin (BTC), pari a circa 780 milioni di dollari ai prezzi di lunedì, anche se altre fonti hanno precisato che l’ammontare non è stato ufficialmente confermato.
Revolut ha rifiutato di commentare sull’entità del riscatto. Un portavoce ha ribadito che l’infrastruttura core, i database e i conti dei clienti non sono stati compromessi.
Da leggere anche: Gli ETF su XRP toccano il record di 1,7 miliardi con 9 settimane consecutive di afflussi nonostante la debolezza del prezzo
ZachXBT segnala il targeting delle “balene”
L’investigatore on-chain ZachXBT ha diffuso su Telegram l’avviso inviato ai clienti da Revolut. Successivamente ha aggiunto ulteriori categorie di dati che, a suo dire, non comparivano nell’email ufficiale: tra queste IBAN, registri dei prelievi, professioni e storici completi delle transazioni in Bitcoin. A suo giudizio si tratta di una violazione limitata per numero di soggetti, ma mirata ai correntisti con patrimoni più elevati.
Revolut non ha confermato questa lettura e non ha dichiarato che i clienti crypto siano stati presi di mira in modo selettivo. I ricercatori avvertono però che l’abbinamento tra l’immagine di un passaporto e uno storico completo delle operazioni consente campagne di phishing altamente mirate e analisi on-chain che partono da un nome reale. La disponibilità di documenti d’identità e immagini di riconoscimento facciale aumenta inoltre sensibilmente il rischio di frodi per impersonificazione ai danni di tutti i soggetti citati.
Come è nata la violazione Revolut
L’origine dell’esposizione dei dati viene fatta risalire a una singola email inviata da una casella creata all’interno del dominio autentico di un ente governativo, con tutte le autenticazioni tecniche in regola, che ha quindi superato i controlli di Revolut. Gli intermediari finanziari hanno l’obbligo di dare seguito alle richieste ufficiali delle autorità, e il messaggio ne riproduceva forma e contenuto.
Copie dell’avviso ai clienti hanno iniziato a circolare il 12 settembre, quando Revolut ha definito l’episodio una sofisticata truffa di impersonificazione esterna e ha dichiarato di aver informato autorità di vigilanza e forze dell’ordine.
Mark Karpelès, ex amministratore delegato di Mt. Gox, ha pubblicato nello stesso giorno una propria comunicazione. Il gruppo non ha ancora reso noto il numero di persone coinvolte. Revolut conta oltre 80 milioni di clienti in 30 Paesi e sta portando avanti una vendita di azioni sul mercato secondario che la valuta intorno a 115 miliardi di dollari.
Prossimo articolo: Sam Altman esclude un’IPO OpenAI nel 2026 e chiama in causa il lavoro sulla sicurezza dell’IA
