Revolut ha confermato di aver consegnato dati sensibili di alcuni clienti a un soggetto che si è finto un’agenzia governativa. La richiesta fraudolenta è arrivata da un dominio email ufficiale e ha superato i controlli di autenticazione, portando alla divulgazione di documenti, indirizzi e cronologia completa delle transazioni in Bitcoin.
Come è avvenuta la violazione dei dati
La richiesta è arrivata venerdì da un indirizzo email che apparteneva effettivamente all’infrastruttura di dominio di un’agenzia governativa reale. Il messaggio presentava credenziali di autenticazione valide, indistinguibili da quelle di una comunicazione legittima.
Revolut ha dichiarato di aver ritenuto genuina la richiesta e di aver quindi trasmesso le informazioni richieste. Solo successivamente, contattando separatamente l’agenzia interessata, la società ha scoperto che la richiesta era fraudolenta.
Secondo le notifiche inviate ai clienti coinvolti, i dati condivisi includevano nome, data di nascita, occupazione, indirizzo di residenza, email e numero di telefono. A questi si aggiungevano copie di passaporti o patenti di guida, selfie di verifica dell’identità, estratti conto, IBAN, numeri di riferimento del wallet Bitcoin, registri dei prelievi e la cronologia completa delle transazioni, comprese quelle in Bitcoin.
Bitcoin e clienti ad alto patrimonio nel mirino
L’investigatore blockchain ZachXBT ha reso pubblico il caso il 12 settembre, dopo che gli utenti coinvolti avevano già ricevuto le notifiche di sicurezza l’11 settembre. Secondo la sua ricostruzione, l’episodio sembrerebbe aver interessato in particolare clienti con patrimoni elevati, anche se la portata complessiva resta ancora incerta.
Revolut ha specificato nelle comunicazioni che nessun dato biometrico di telemetria facciale è stato coinvolto nella fuga di informazioni. La società ha inoltre dichiarato che i fondi dei clienti non sono stati toccati e che i propri sistemi restano integri.
Il punto critico riguarda l’inclusione della cronologia Bitcoin tra i dati esposti. Per un cliente crypto, questo significa che un soggetto esterno può ora conoscere importi, tempistiche e riferimenti del wallet, un livello di dettaglio che va oltre la semplice identità.
La risposta di Revolut e i prossimi passi
Revolut ha dichiarato di aver bloccato il mittente della richiesta non appena individuata l’anomalia e di aver informato l’agenzia governativa coinvolta, le forze dell’ordine e le autorità competenti per la protezione dei dati e la vigilanza finanziaria.
Al momento, secondo quanto riportato, non risultano evidenze di accesso non autorizzato ai conti, furto di fondi o sottrazione di chiavi private, seed phrase o password. L’esposizione riguarderebbe i dati personali e finanziari, non la disponibilità economica degli utenti.
