Fondata nel 2015, Revolut, con sede nel Regno Unito, ha ormai più di 80 milioni di clienti in tutto il mondo, nonostante le critiche legate alla sua velocità di espansione e alla sua capacità di rispettare le normative finanziarie in materia di frodi e riciclaggio. Nei giorni scorsi, la fintech ha annunciato di essere stata vittima di una truffa, in seguito alla quale ha trasmesso i dati di centinaia di clienti a una “terza parte non identificata”. Gli autori del furto di dati sarebbero uno o più hacker noti come “iamnotavillain”, attualmente in contatto con il Financial Times.
Il quotidiano riporta che gli hacker hanno scambiato e-mail con Revolut per mesi utilizzando l’indirizzo di un’autorità italiana, chiedendo ripetutamente dati confidenziali (indirizzi, numeri di telefono, documenti d’identità) di 680 clienti e sostenendo di averne bisogno per delle indagini in corso. I clienti in questione sono stati scelti tra quelli con la maggiore quantità di criptovalute.
Stando alle dichiarazioni di iamnotavillain, la banca ha inviato tutti i dati richiesti senza problemi.
Come riporta il Financial Times, inizialmente, il gruppo non aveva avanzato richieste di riscatto. Tuttavia, gli hacker hanno pubblicato un ultimatum sul loro sito web, chiedendo a Revolut di pagare 6.000 XMR (equivalenti a circa 3 milioni di dollari in Monero, una criptovaluta difficile da rintracciare) entro 24 ore, altrimenti avrebbero venduto i dati rubati ad altre organizzazioni criminali. Una modalità insolita, dato che di norma i gruppi di hacker fanno queste richieste privatamente.
Come prova aggiuntiva, subito dopo la pubblicazione dell’ultimatum, gli hacker hanno inviato al giornale un video di 60 secondi in cui una persona non identificata mostrava i numerosi file che il gruppo afferma di aver ricevuto da Revolut.
Secondo l’Irish Times, la mail ricevuta da Revolut è stata inviata tramite PEC, la Posta Elettronica Certificata utilizzata in Italia da autorità, aziende e cittadini per le comunicazioni ufficiali, considerata l’equivalente digitale di una raccomandata.
La risposta italiana non si è fatta attendere: Euronews riferisce che la Procura della Repubblica di Reggio Calabria, a cui risultava collegato l’indirizzo PEC utilizzato dagli hacker, ha avviato un’indagine in collaborazione con la Direzione Nazionale Antimafia e Antiterrorismo. La divisione della Polizia di Stato specializzata in cybersecurity ha riferito che si è trattato di un’operazione complessa, i cui dettagli restano ancora da chiarire del tutto. È stato coinvolto anche il Garante della privacy per verificare eventuali violazioni dei sistemi informatici delle banche italiane.
Gli esperti stanno cercando di determinare le modalità precise dell’attacco e di accertare l’eventuale coinvolgimento di altri enti pubblici italiani. Revolut ha dichiarato che i database del sistema non sono stati violati. Tuttavia, quanto è successo riporta l’attenzione sulla gestione digitale dei dati personali e sulla facilità con cui vengono forniti alle aziende. La normalizzazione del mondo digitale, ormai parte della nostra vita a ogni livello, richiede che la gestione consapevole delle informazioni torni a essere una priorità.
