Hardware Ready Ready to Bench?
Violazione dati revolut. Una casella di Posta Elettronica Certificata (PEC) appartenente alla Prefettura di Reggio Calabria sarebbe stata compromessa e utilizzata per inviare a Revolut false richieste provenienti dalla Polizia postale. La fintech ha fornito documenti, selfie, IBAN e movimenti relativi a circa 680 clienti.
La truffa che ha portato Revolut a consegnare dati sensibili di circa 680 utenti è iniziata in Italia, precisamente da una casella PEC riconducibile alla Prefettura di Reggio Calabria. I criminali avrebbero preso il controllo dell’indirizzo istituzionale per impersonare operatori della Polizia postale, inducendo Revolut a trasmettere documenti d’identità, selfie, IBAN, estratti conto e cronologia delle transazioni.
Violazione dati revolut: perché è importante
Il caso non deriva da una violazione dei server di Revolut. Gli aggressori non hanno compromesso direttamente i sistemi della banca né sottratto denaro dai conti, ma hanno sfruttato la procedura ordinaria con cui gli istituti finanziari rispondono alle richieste delle autorità, utilizzando una casella governativa autentica e già riconosciuta come affidabile.
La ricostruzione pubblicata dal Financial Times indica che l’operazione è partita dalla PEC della Prefettura di Reggio Calabria. Da questo indirizzo sarebbero state inviate richieste firmate come Polizia postale a Revolut, con l’obiettivo di ottenere informazioni su specifici clienti.
Secondo le informazioni disponibili, i criminali avevano accesso a una casella realmente appartenente a un’istituzione italiana. I messaggi risultavano quindi inviati da un dominio istituzionale legittimo, superando i controlli tecnici e la validità formale associata alla posta elettronica certificata.
Una mail contraffatta con un indirizzo simile a quello di un ministero può essere bloccata o individuata verificando il dominio. Una richiesta inviata da una casella autentica, anche se compromessa, presenta invece un livello di attendibilità molto più alto.
Per Revolut, il mittente risultava essere un’agenzia governativa e il contenuto simulava una richiesta ufficiale della Polizia postale. Le richieste sarebbero rimaste attive per diversi mesi prima che Revolut individuasse anomalie e contattasse l’istituzione italiana.
I dati trasmessi includono informazioni raccolte durante la verifica dell’identità e nel normale utilizzo del conto: date di nascita, indirizzi, numeri di telefono, email, copie di passaporti e patenti, selfie di verifica, IBAN, estratti conto e storico delle transazioni. Per alcuni utenti sono state incluse anche operazioni legate alle criptovalute.
Tra le persone coinvolte figurano Mark Karpelès, ex amministratore delegato di Mt. Gox, e il tennista Alexander Shevchenko. La cifra di circa 680 clienti è stata riportata dal Financial Times sulla base di fonti interne all’indagine, ma Revolut non l’ha confermata pubblicamente, descrivendo il numero degli interessati come limitato.
Le nuove informazioni aggiungono un elemento decisivo: l’indirizzo utilizzato dai truffatori sarebbe una casella PEC italiana compromessa, e non un dominio governativo semplicemente imitato. La Polizia postale ha aperto un’indagine con le ipotesi di accesso abusivo a un sistema informatico e frode informatica.
Cosa cambia e quali sono gli effetti
Gli investigatori devono chiarire come sia stato ottenuto l’accesso alla casella della Prefettura, quali messaggi siano stati inviati e se la stessa infrastruttura italiana sia stata utilizzata per altre operazioni. Le richieste inviate a Revolut avrebbero presentato elementi anomali: pur risultando firmate dalla Polizia postale, provenivano da una casella della Prefettura di Reggio Calabria e non sarebbero state accompagnate dal decreto dell’autorità giudiziaria normalmente associato a tali richieste.
Questi segnali non sono stati sufficienti a bloccare l’operazione. La provenienza da una PEC istituzionale e la presenza del dominio .it hanno convinto Revolut a trattare le comunicazioni come richieste legali vincolanti. L’azienda ha ammesso di essere stata vittima di una sofisticata forma di impersonificazione esterna.
Revolut sostiene che i propri sistemi non siano stati compromessi e che i fondi dei clienti non siano stati toccati. Dopo aver ricostruito l’accaduto, la società ha bloccato l’indirizzo coinvolto, informato la Prefettura interessata e avvisato le autorità competenti, gli organismi per la protezione dei dati e i regolatori finanziari.
Revolut ha contattato direttamente i clienti coinvolti per comunicare la violazione e offrire assistenza. Il rischio principale non è un prelievo diretto dai conti, ma l’utilizzo dei dati sottratti per nuove frodi: passaporto, selfie, IBAN e storico delle operazioni possono aiutare a costruire identità digitali credibili, tentare aperture di credito o rendere più efficaci successive campagne di phishing mirato.
Il gruppo che ha rivendicato l’operazione utilizza lo pseudonimo IAmNotAVillain. Gli attaccanti sostengono di aver ottenuto una quantità molto maggiore di materiale dai sistemi italiani, fino a 147 GB di documenti e comunicazioni, minacciando la pubblicazione dei dati se la società non avesse pagato un riscatto. Le loro dichiarazioni attaccano anche le procedure KYC (controlli con cui Revolut verifica l’identità dei clienti), ma non costituiscono una prova di ulteriori violazioni né dimostrano che i sistemi della fintech siano stati penetrati.
Restano da chiarire la durata effettiva dell’accesso alla casella italiana, il numero complessivo delle richieste inviate e l’eventuale coinvolgimento di altre amministrazioni.
Fonte e approfondimento su violazione dati revolut: articolo originale.
* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.