Una sofisticata truffa basata sull’impersonificazione di un’istituzione pubblica ha permesso a un gruppo di criminali informatici di ottenere informazioni riservate di clienti di Revolut. Gli autori della frode avrebbero utilizzato una casella di posta elettronica istituzionale italiana compromessa per inviare alla fintech richieste apparentemente ufficiali. Sulla vicenda sta indagando la Polizia postale, mentre sono in corso accertamenti per ricostruire come sia stato possibile compromettere l’indirizzo.
Revolut ha assicurato che né i propri sistemi né i fondi dei clienti sono stati interessati dall’episodio.
Le richieste partite dalla mail di una prefettura
Secondo quanto emerso dagli ultimi accertamenti, i messaggi fraudolenti sarebbero partiti dalla casella istituzionale di una prefettura italiana. Proprio la provenienza apparentemente autentica avrebbe inizialmente evitato di destare sospetti.
Revolut ha spiegato di aver individuato una “sofisticata truffa di impersonificazione esterna”, nella quale un soggetto terzo non autorizzato ha utilizzato un indirizzo appartenente al dominio legittimo di un’agenzia governativa per presentare richieste fraudolente di informazioni.
In un primo momento la società ha ritenuto autentiche le comunicazioni e ha trasmesso i dati richiesti. Le email sarebbero poi proseguite, fino a quando Revolut ha deciso di effettuare ulteriori verifiche rivolgendosi direttamente all’istituzione italiana interessata. Quest’ultima ha negato di essere all’origine delle richieste, facendo emergere la frode.
Quali dati sono finiti nelle mani dei criminali
Le informazioni trasmesse comprenderebbero dati personali e finanziari particolarmente sensibili: copie di passaporti e documenti d’identità, indirizzi di residenza, informazioni bancarie e dati relativi alle transazioni, compresi alcuni movimenti in bitcoin. Tra il materiale potrebbero figurare anche fotografie utilizzate per la verifica dell’identità.
Secondo il Financial Times, Revolut ha contattato 680 persone ritenute potenzialmente coinvolte sulla base delle prime verifiche. La società, nella nuova comunicazione diffusa il 15 settembre, parla invece di un “numero limitato di persone coinvolte”, senza fornire pubblicamente una cifra.
Revolut: “Fondi dei clienti non toccati”
La fintech ha precisato che l’episodio non è derivato da un’intrusione nella propria infrastruttura informatica. “I sistemi di Revolut e i fondi dei clienti non sono stati toccati”, ha assicurato un portavoce.
Una volta scoperta la frode, la società afferma di aver bloccato immediatamente l’indirizzo utilizzato dai criminali e di aver informato l’agenzia governativa coinvolta. Sono state inoltre avvisate le autorità di contrasto, quelle competenti per la protezione dei dati e le autorità di vigilanza finanziaria.
Revolut ha fatto sapere di aver contattato direttamente le persone interessate per informarle dell’accaduto e fornire assistenza.
Il ricatto dopo la consegna dei dati
Dopo essere entrati in possesso delle informazioni, i criminali avrebbero anche tentato di ricattare Revolut. Secondo il Financial Times, alla società sarebbe stato chiesto un riscatto con la minaccia di rendere pubblici i dati ottenuti.
Sul caso si è mossa anche l’Information Commissioner’s Office, l’autorità britannica per la protezione dei dati, dopo la segnalazione della fintech. In Italia, invece, gli investigatori della Polizia postale stanno cercando di ricostruire le modalità con cui sarebbe stata compromessa la casella istituzionale utilizzata per ingannare Revolut.
Tra le persone coinvolte anche l’ex numero uno di Mt Gox
Tra i clienti interessati figura Mark Karpelès, ex amministratore delegato di Mt Gox, un tempo il principale exchange di bitcoin al mondo. Karpelès ha raccontato al Financial Times di essere stato informato da Revolut il 12 settembre.
L’ex manager ha criticato la gestione delle richieste, sostenendo che la società non avrebbe dovuto trasmettere informazioni così sensibili basandosi sulla sola apparente autenticità della comunicazione.
Il punto centrale dell’indagine resta ora proprio la provenienza delle email: gli accertamenti dovranno stabilire come sia stata compromessa la casella dell’istituzione italiana e ricostruire l’intera catena di richieste che ha portato alla consegna dei dati.