Revolut, se la truffa arriva da un vero dominio governativo

Non è stato necessario violare i server di una banca né superare sofisticate barriere informatiche. È bastato presentarsi con le credenziali apparentemente giuste. Revolut ha confermato di avere consegnato informazioni personali e finanziarie di alcuni clienti a un soggetto non autorizzato dopo avere ricevuto richieste che sembravano provenire da un ente governativo. E che, soprattutto, erano state spedite attraverso un dominio email autentico dell'agenzia. La fintech britannica parla di una “sofisticata truffa di impersonificazione esterna, nella quale una terza parte non autorizzata ha utilizzato il dominio email legittimo di un'agenzia governativa per presentare richieste fraudolente di informazioni”. La super-app finanziaria non ha reso noto quale fosse l'ente coinvolto, anche perché sul caso sono in corso accertamenti delle autorità. Dai passaporti alle transazioni A rendere particolarmente delicato l'incidente è la quantità e la natura delle informazioni potenzialmente finite nelle mani sbagliate. Secondo la comunicazione inviata da Revolut agli utenti interessati e visionata da TechCrunch, fra i dati divulgati potrebbero figurare nome e data di nascita, indirizzo di casa, email, numero di telefono, copie del passaporto o della patente, oltre ai selfie utilizzati per la verifica dell'identità. Ma anche informazioni strettamente finanziarie come estratti conto e cronologia delle transazioni. In alcuni casi l'esposizione avrebbe riguardato anche IBAN, prelievi e cronologie complete delle transazioni in Bitcoin. Una copia della comunicazione di Revolut è stata pubblicata dall'ex amministratore delegato di Mt. Gox Mark Karpelès, che ha affermato di essere fra gli utenti coinvolti. L'investigatore blockchain ZachXBT ha ipotizzato che l'operazione possa avere preso di mira clienti con patrimoni elevati, anche se al momento non ci sono conferme indipendenti su questo punto. Revolut non ha comunicato il numero preciso delle persone interessate, limitandosi a definirlo “molto limitato”, né ha chiarito se l'incidente riguardi uno specifico mercsato. Gli utenti coinvolti sono stati contattati direttamente. Nessuna intrusione nei sistemi di Revolut Il punto importante è che, sulla base delle informazioni disponibili, non si tratterebbe di una violazione diretta dell'infrastruttura informatica di Revolut. L'attaccante avrebbe invece sfruttato un canale considerato attendibile per convincere la società della legittimità delle richieste. È una differenza sostanziale rispetto al classico data breach: l'anello debole, in questo caso, sembra essere stato il processo con cui viene verificata l'autenticità di una richiesta esterna di informazioni. O non una violazione diretta. La società sottolinea infatti che “i sistemi di Revolut e i fondi dei clienti non sono stati interessati”. Dopo essersi accorta dell'inganno, ha aggiunto un portavoce, “abbiamo immediatamente bloccato l'indirizzo e avvisato l'agenzia governativa interessata, nonché le forze dell'ordine, le autorità per la protezione dei dati e le autorità di regolamentazione finanziaria”. Secondo quanto sostiene la piattaforma, non sarebbero state compromesse password o credenziali di accesso. Il selfie utilizzato durante la verifica dell'identità può invece essere fra i materiali divulgati: cosa diversa dai dati biometrici elaborati a partire dall'immagine, che Revolut sostiene non siano stati esposti. Il problema delle richieste “autentiche” L'episodio solleva naturalmente una questione di sicurezza più ampia. Un messaggio proveniente da un dominio autentico può superare i normali sistemi di autenticazione della posta elettronica senza che questo dimostri necessariamente che la persona che sta effettuando una richiesta sia autorizzata a farlo. Ed è un problema particolarmente delicato per banche, fintech e piattaforme digitali, che ricevono regolarmente richieste di informazioni da autorità giudiziarie, forze dell'ordine e organismi di vigilanza. In casi del genere, dunque, verificare soltanto il dominio di provenienza non basta: servono procedure indipendenti per accertare identità del richiedente, legittimità e perimetro della richiesta prima di consegnare informazioni altamente sensibili. Anzi è assurdo che non siano già implementate in modo rigido. Il caso Revolut dimostra come il social engineering possa spostarsi dalla tradizionale truffa contro il singolo utente a un livello molto più insidioso: convincere direttamente un'organizzazione che chi sta chiedendo i dati abbia davvero l'autorità per farlo. Per gli utenti coinvolti l'assenza di movimenti su fondi o titoli non azzera i rischi. L'eventuale combinazione di documento d'identità, indirizzo, numero telefonico, selfie e informazioni finanziarie può diventare materiale prezioso per successive campagne di phishing, furti d'identità e tentativi di impersonificazione su mille altri fronti.

Cosa vedere:

Come vederlo:

Online con Sky:

Revolut, se la truffa arriva da un vero dominio governativo

Simone Cosimi