Una richiesta apparentemente proveniente da un’autorità governativa, credenziali di autenticazione valide e dati dei clienti finiti nelle mani di un soggetto non autorizzato. È quanto accaduto a Revolut, che ha confermato un episodio di esposizione di informazioni riservate riguardante un numero limitato di utenti.
Il caso è particolarmente delicato perché, secondo quanto ricostruito, non sarebbe stato violato direttamente il sistema informatico della fintech. L’attacco avrebbe invece sfruttato l’affidabilità attribuita alle comunicazioni provenienti da canali istituzionali.
Una richiesta che sembrava autentica
Il messaggio ricevuto da Revolut proveniva da un dominio email governativo autentico e disponeva di credenziali di autenticazione valide. Elementi che avrebbero indotto il personale della società a considerare legittima la richiesta.
Revolut avrebbe quindi trasmesso diverse informazioni relative ai clienti interessati: nomi, date di nascita, indirizzi, numeri di telefono, copie dei documenti d’identità e immagini utilizzate per la verifica facciale.
Tra i dati comunicati figurerebbero anche IBAN e cronologie delle transazioni, oltre alle informazioni sui prelievi effettuati dai conti.
La società ha precisato che i propri sistemi non sono stati compromessi e che i fondi dei clienti non sono stati coinvolti. Gli utenti interessati sono stati contattati individualmente.
L’ipotesi italiana
C’è poi un elemento ancora da verificare. Dichiarazioni attribuite al presunto responsabile dell’attacco sostengono che l’operazione sarebbe andata avanti per circa sei mesi sfruttando sistemi collegati a diversi dipartimenti delle forze dell’ordine italiane.
Lo stesso soggetto sostiene di essere entrato in possesso di circa 147 GB di materiale proveniente dal versante italiano dell’operazione.
Si tratta però di affermazioni che, allo stato attuale, non risultano confermate né da Revolut né dalle autorità italiane. Anche alcuni screenshot diffusi online e indicati come prova dell’origine italiana delle comunicazioni non hanno ricevuto una verifica indipendente.
Il problema delle richieste istituzionali
Il caso mostra una vulnerabilità che va oltre Revolut. Banche, piattaforme digitali e operatori tecnologici ricevono continuamente richieste di informazioni da autorità pubbliche e forze dell’ordine.
Se un aggressore riesce a utilizzare un’infrastruttura istituzionale autentica o credenziali apparentemente valide, distinguere una richiesta reale da una fraudolenta può diventare molto più difficile.
Il punto, quindi, non è soltanto proteggere i database dagli attacchi informatici. Bisogna verificare anche chi si trova realmente dall’altra parte quando qualcuno, presentandosi come un’autorità, chiede l’accesso ai dati degli utenti.
