Revolut ha consegnato dati personali e finanziari di diversi clienti a un gruppo di hacker che si era spacciato per un’autorità pubblica italiana attraverso una casella di posta elettronica certificata (Pec). La fintech britannica ha confermato l’incidente il 12 settembre, precisando che non si è trattato di un’intrusione nei propri sistemi, ma di una sofisticata frode di impersonificazione.
Secondo quanto riferito dal Financial Times, i clienti contattati dall’azienda sarebbero circa 680, anche se Revolut non ha confermato pubblicamente questa cifra. Il 15 settembre l’Information Commissioner’s Office (ICO), l’autorità britannica per la protezione dei dati, ha annunciato l’apertura di un’indagine dopo l’autodenuncia della società.
La richiesta sembrava arrivare da un’autorità italiana
Il gruppo criminale avrebbe utilizzato una Pec appartenente a un’amministrazione italiana. La casella, secondo le ricostruzioni disponibili, era autentica: gli hacker non avrebbero quindi creato un indirizzo falso né contraffatto una comunicazione, ma sarebbero riusciti a prendere il controllo di un account istituzionale.
La Pec ha avuto un ruolo decisivo nell’inganno. Questo sistema certifica l’invio e la consegna di un messaggio, indicando anche data e ora della trasmissione. Per questo viene impiegato nelle comunicazioni ufficiali e giudiziarie e, in molti casi, una richiesta proveniente da un indirizzo istituzionale certificato viene considerata attendibile.
La comunicazione inviata a Revolut appariva formalmente simile alle richieste che banche e istituti finanziari ricevono dalle procure e dalle forze di polizia. La fintech l’ha quindi trattata come un normale adempimento di legge, trasmettendo le informazioni richieste.
Il caso mostra una modalità di attacco diversa dal tradizionale data breach: i sistemi di Revolut non sarebbero stati violati e non risulta che un malware abbia colpito direttamente l’infrastruttura della società. L’accesso ai dati è stato ottenuto sfruttando la credibilità di un canale istituzionale già compromesso.
Il possibile ruolo di un infostealer
Il consulente informatico forense Paolo Del Checco ha definito l’operazione «Man in the Mail» in un intervento pubblicato sui social. L’espressione indica una manipolazione della corrispondenza elettronica resa possibile dal controllo di una casella reale, anziché dalla semplice falsificazione del mittente.
Secondo l’analisi riportata nella fonte, l’accesso alla Pec dell’istituzione italiana potrebbe essere stato ottenuto tramite un infostealer, un tipo di malware progettato per sottrarre informazioni da un computer. Questo genere di software può raccogliere credenziali e altri dati utili, consentendo agli hacker di utilizzare account già autenticati.
In questo scenario, la richiesta inviata a Revolut risultava effettivamente partita dall’indirizzo di un ufficio pubblico. I controlli automatici destinati a verificare l’autenticità tecnica della comunicazione non avrebbero quindi rilevato anomalie: il messaggio proveniva da una casella legittima ed era stato trasmesso attraverso un canale certificato.
Quali informazioni sono state consegnate
I dati trasmessi rientrano nella documentazione raccolta dagli istituti finanziari durante l’apertura di un conto e conservata per gli obblighi antiriciclaggio. Si tratta quindi di informazioni particolarmente sensibili, perché possono essere utilizzate per tentare nuove frodi o costruire attacchi mirati contro le vittime.
Secondo quanto riferito dal Financial Times e da Reuters, oltre al materiale diffuso dagli stessi attaccanti, il pacchetto comprendeva dati anagrafici e professionali, indirizzi di residenza, numeri di telefono e indirizzi e-mail.
Sarebbero state inoltre trasmesse copie di documenti d’identità, tra cui passaporti e patenti, gli Iban, le fotografie utilizzate per la verifica facciale e la cronologia delle transazioni. La combinazione di questi elementi rende l’esposizione particolarmente delicata: non si tratta soltanto di recapiti personali, ma di dati utili a ricostruire l’identità e l’attività finanziaria di un cliente.
Revolut: coinvolgimento limitato, indagine dell’ICO
Revolut ha descritto l’episodio come una «sofisticata truffa di impersonificazione esterna» e ha parlato di un numero «molto limitato» di persone coinvolte. La società, che conta oltre 80 milioni di clienti a livello globale, è considerata la maggiore fintech europea. In Italia gli utenti sarebbero circa 5 milioni, secondo dati pubblicati lo scorso maggio da Milano Finanza.
L’azienda ha avvisato le persone interessate e ha segnalato l’incidente alle autorità competenti. L’intervento dell’ICO britannico dovrà chiarire la dinamica della violazione, l’ampiezza effettiva dei dati trasferiti e l’adeguatezza delle procedure adottate da Revolut per verificare le richieste provenienti da soggetti istituzionali.
L’indagine dovrà inoltre accertare in che modo la Pec dell’amministrazione italiana sia stata compromessa e se l’accesso sia stato ottenuto attraverso credenziali rubate con un infostealer o con un’altra tecnica utilizzata dagli hacker.
Per restare sempre aggiornato seguici su Google News!
