Non c’è stato bisogno di violare i sistemi informatici di Revolut per accedere alle informazioni riservate dei suoi clienti. I responsabili della frode avrebbero sfruttato un meccanismo decisamente più semplice: far apparire una richiesta di dati come proveniente da una vera autorità pubblica. Secondo quanto emerso, i truffatori avrebbero utilizzato anche una Pec italiana, riuscendo a convincere la fintech della legittimità delle comunicazioni.
Revolut ha confermato l’incidente, chiarendo però che nessun sistema interno è stato hackerato e che i soldi presenti nei conti dei clienti non sono stati sottratti. Il problema riguarda invece i dati personali e finanziari che la società ha consegnato in risposta alle richieste fraudolente. L’azienda ha definito l’episodio una “sofisticata truffa di impersonificazione”. Soltanto in un secondo momento Revolut si sarebbe accorta dell’inganno, bloccando l’indirizzo utilizzato e informando l’ente coinvolto, le forze dell’ordine e le autorità competenti.
Documenti, indirizzi e movimenti finanziari
La vicenda potrebbe riguardare un numero significativo di clienti. Secondo il Financial Times, le persone coinvolte sarebbero circa 680, anche se Revolut non ha confermato ufficialmente questa cifra e ha parlato di un gruppo ristretto di utenti, contattati direttamente. Non è stato inoltre precisato in quali Paesi risiedano i clienti interessati.
I dati finiti nelle mani sbagliate potrebbero essere particolarmente sensibili. Nelle comunicazioni inviate agli utenti e visionate da TechCrunch, Revolut indica tra le informazioni potenzialmente esposte nomi, date di nascita, indirizzi, numeri di telefono, email e copie di documenti come passaporti e patenti. In alcuni casi potrebbero essere stati coinvolti anche fotografie utilizzate per la verifica dell’identità, estratti conto e cronologie delle transazioni, comprese quelle relative alle criptovalute. Password e codici di accesso, invece, non risulterebbero compromessi.
Tra le persone che hanno raccontato pubblicamente l’accaduto c’è anche Mark Karpelès, ex amministratore delegato di Mt. Gox, secondo il quale i dati sarebbero stati richiesti attraverso il sistema italiano di posta elettronica certificata. Questo dettaglio non è stato però confermato ufficialmente da Revolut.
Il rischio delle truffe personalizzate
La principale preoccupazione riguarda ora l’utilizzo dei dati sottratti per realizzare truffe molto più credibili rispetto ai normali tentativi di phishing. Conoscere informazioni anagrafiche, numero di telefono, indirizzo, operazioni bancarie e documento utilizzato per l’identificazione permette infatti ai criminali di costruire un contatto estremamente personalizzato.
Un cliente potrebbe, per esempio, essere raggiunto da un falso operatore antifrode che conosce alcune sue operazioni reali e sostiene che il conto sia stato compromesso. Dopo aver conquistato la fiducia della vittima, il truffatore potrebbe convincerla a trasferire il denaro su un presunto conto sicuro, in realtà controllato dai criminali.
Revolut e gli istituti bancari non chiedono di mettere al sicuro i propri risparmi effettuando bonifici durante una telefonata. Per questo è importante diffidare di comunicazioni inattese, verificare autonomamente l’identità di chi contatta il cliente e utilizzare esclusivamente i canali ufficiali dell’istituto. Nel Regno Unito, intanto, l’Information Commissioner’s Office ha aperto un’indagine sull’incidente dopo la segnalazione ricevuta da Revolut.