Revolut ingannata da un dominio governativo autentico

L’email proveniva da un autentico dominio governativo e aveva superato i controlli standard che certificano come un messaggio sia stato effettivamente inviato dall’organizzazione dichiarata; poiché chiedeva i dati di alcuni clienti, Revolut ha dato seguito alla richiesta, trasmettendo documenti d’identità, selfie, estratti conto e cronologie delle operazioni. Dietro il mittente, tuttavia, c’era un truffatore (TechCrunch).

La fintech ha confermato l’accaduto sabato, dopo che i clienti coinvolti avevano iniziato a pubblicare le email di notifica ricevute. Mark Karpelès, ex amministratore delegato di Mt. Gox, ha condiviso pubblicamente la propria, rivelando così di essere tra le vittime (The Block). Revolut ha precisato che nessuno ha avuto accesso abusivo alla piattaforma bancaria e che non sono stati sottratti fondi: è stata la società stessa a consegnare i documenti in risposta alle richieste fraudolente, ingannata da quello che, nella comunicazione ai clienti, ha definito un account non autorizzato creato all’interno dell’autentica infrastruttura email di un’agenzia governativa di cui non ha indicato il nome (Security Affairs).

Il timbro postale era autentico, ma il mittente non era autorizzato

Quando arriva un’email, il provider esegue in modo invisibile una serie di controlli di autenticazione, verificando sia che il server di invio abbia l’autorizzazione del titolare del dominio, sia che il messaggio non sia stato modificato durante il tragitto. È come accertare che una lettera rechi il timbro autentico di un vero ufficio postale governativo.

Un timbro genuino, però, non dimostra che chi ha scritto la lettera avesse il potere di avanzare quella richiesta. Dalla comunicazione di Revolut emerge che l’autenticazione del dominio ha pesato nella decisione di considerare legittimo il messaggio; la società non ha chiarito se, prima di consegnare i documenti, abbia verificato separatamente l’identità del richiedente e il fondamento giuridico della domanda (Security Affairs, CyberInsider).

Revolut ha dunque trasmesso prima le informazioni e soltanto in seguito ha contattato autonomamente l’agenzia governativa, scoprendo che le richieste non erano autorizzate; a quel punto ha bloccato il mittente, avvertito le autorità e informato i clienti (TechCrunch, Reuters/WHBL).

Resta da capire come sia nata la casella di posta non autorizzata: potrebbe trattarsi di un account già esistente e compromesso, di uno nuovo aperto sfruttando una falla amministrativa oppure di un’operazione agevolata da qualcuno all’interno dell’ente. Revolut non ha identificato né l’agenzia e il Paese coinvolti, né il dominio o l’autore dell’attacco (TechCrunch).

Quali dati sono usciti

La comunicazione ai clienti elenca un pacchetto di informazioni molto ampio. I dati identificativi comprendevano copie del passaporto e della patente, il selfie scattato durante la registrazione, nome e cognome, data di nascita e professione; quelli di contatto includevano indirizzo postale, email e numero di telefono, mentre la documentazione finanziaria conteneva estratti conto con IBAN, prelievi e cronologia completa delle operazioni, comprese le transazioni in Bitcoin (TechCrunch, The Block).

Revolut ha precisato che, pur avendo consegnato il selfie acquisito durante la registrazione, non ha trasmesso il modello matematico ricavato dai sistemi di riconoscimento facciale. La fotografia di un volto resta comunque un dato sensibile e, se associata alla scansione di un passaporto, potrebbe favorire tentativi di furto d’identità, sebbene molti sistemi di verifica richiedano anche una prova di vitalità e ulteriori controlli.

Tra i documenti divulgati non figuravano password, codici monouso, numeri di carta, token di autenticazione o chiavi private delle criptovalute, ossia le credenziali che consentono di accedere direttamente a un conto. I dati esposti possono però rendere molto più credibili le campagne di phishing mirato: un criminale che citi transazioni realmente avvenute, numeri di conto autentici e un indirizzo corretto desta meno sospetti di chi invia una truffa generica (NCSC data-breach guidance).

Revolut ha parlato di un «numero limitato» di clienti coinvolti, senza indicare il totale, la distribuzione per Paese o l’arco temporale dell’incidente. Alcuni media belgi, citando fonti anonime, hanno riferito della presenza di vittime in Belgio, ma manca una conferma diretta (The Brussels Times).

Il punto centrale dell’incidente è la debolezza della procedura di verifica. L’autenticazione del dominio email permette a una banca di stabilire quale infrastruttura abbia inviato un messaggio, ma non certifica che la persona che la utilizza sia autorizzata a pretendere i documenti dei clienti. Se un istituto considera questi controlli sufficienti per convalidare una richiesta di dati, si espone proprio a frodi di questo tipo: il caso Revolut mostra quanto sia necessario verificare l’identità del richiedente e la base giuridica della domanda, oltre alla semplice provenienza del messaggio.