Revolut: come una falsa email governativa ha esposto i dati di 680 clienti

Una email che sembrava provenire da un'autorità governativa italiana è bastata per far consegnare a Revolut i dati personali, i documenti di identità e lo storico completo delle transazioni di circa 680 clienti. Secondo la ricostruzione di Punto Informatico, il fintech britannico ha ricevuto una richiesta che appariva legittima, inoltrata tramite una casella PEC compromessa riconducibile alle forze dell'ordine italiane, probabilmente la Polizia Postale. La fintech ha risposto secondo le procedure previste dal GDPR per le richieste ufficiali, senza verificare adeguatamente l'autenticità della comunicazione. Solo successivamente ha scoperto di essere stata vittima di una sofisticata truffa di impersonificazione.

Chi

Revolut è una fintech londinese fondata nel 2015, specializzata in conti correnti digitali, cambio valute e servizi di pagamento. Conta milioni di utenti in Europa e oltre. Nel caso specifico, il gruppo di cybercriminali che si è attribuito l'operazione si chiama IAmNotVillain, noto per attacchi a istituzioni finanziarie e aziende tech. Secondo le ricostruzioni, gli attaccanti avrebbero poi rivendicato il furto pubblicando un sito con i dati rubati (successivamente offline, ma ancora consultabile tramite Internet Archive) e chiedendo un riscatto di 3 milioni di dollari entro 24 ore, minacciando altrimenti di vendere le informazioni ad altri gruppi criminali.

Cosa è successo

L'attacco ha sfruttato un meccanismo legittimo: le Emergency Data Request, richieste di dati che governi e autorità pubbliche possono inoltrare alle piattaforme digitali secondo procedure stabilite dal GDPR. Queste richieste sono gestite quotidianamente da banche, social network e cloud provider. Il problema è che gli attaccanti hanno utilizzato una PEC istituzionale compromessa, facendo apparire la comunicazione come ufficiale e vincolante.

Revolut ha quindi proceduto a trasmettere i dati richiesti, come previsto dalla normativa europea in caso di richieste formalmente legittime. Solo in seguito ha scoperto l'inganno. Tra le informazioni trafugate figurano:

• Nome e cognome completo
• Indirizzo email e numero di telefono
• Indirizzo di residenza
• ID dell'account e del conto bancario
• Storico completo delle transazioni (in moneta corrente e criptovalute)
• Documenti di identità (passaporti, carte d'identità)
• Selfie di verifica inviati durante la procedura KYC (Know Your Customer)

A confermare la violazione, gli attaccanti hanno pubblicato documenti e selfie di alcuni clienti noti al grande pubblico. La fintech ha successivamente avvisato gli utenti coinvolti via email, definendo l'accaduto un "furto d'identità esterno".

Secondo quanto riportato dal Financial Times e confermato da fonti italiane, il gruppo avrebbe anche dichiarato di essere stato a sua volta raggirato: qualcuno dall'interno avrebbe sottratto un estratto del database e avrebbe cercato di attribuirsi la responsabilità dell'intera operazione, complicando ulteriormente la ricostruzione dei fatti.

Perché è importante

Il caso Revolut rappresenta un fallimento in più livelli. Innanzitutto, la fiducia riposta nei canali ufficiali è stata sfruttata: la PEC (Posta Elettronica Certificata) è uno strumento che in Italia ha valore legale e viene utilizzato quotidianamente da aziende, professionisti e pubbliche amministrazioni. Quando un dominio istituzionale viene compromesso, diventa uno strumento di frode quasi perfetto.

In secondo luogo, il caso evidenzia i rischi della centralizzazione dei dati sensibili. Documenti di identità e selfie di verifica sono informazioni estremamente preziose per i criminali: permettono di costruire profili completi per furti di identità, frodi finanziarie, ricatti e phishing mirato. Conoscendo anche lo storico delle transazioni, gli attaccanti possono personalizzare ulteriormente i loro attacchi, sapendo quali movimenti ha effettuato ogni singolo cliente.

Per gli utenti coinvolti, i rischi concreti sono:

• Phishing e truffe mirate: con nome, email, numero di telefono e dettagli sui movimenti bancari, i criminali possono orchestrare campagne di ingegneria sociale altamente personalizzate
• Furto di identità: documenti e selfie permettono di aprire conti fraudolenti o richiedere crediti a nome della vittima
• Ricatti: gli attaccanti potrebbero minacciare di rendere pubbliche transazioni sensibili o importi significativi
• Accesso a servizi correlati: email e numero di telefono possono essere usati per tentare il reset di password su altri servizi

Revolut ha precisato che i fondi e i sistemi interni non sarebbero stati compromessi, quindi il rischio di accesso diretto ai conti è basso. Tuttavia, il danno reputazionale e il precedente sono significativi: se una procedura pensata per collaborare con le autorità può essere abusata così facilmente, cosa protegge davvero i dati degli utenti?

Il caso pesa particolarmente in Italia perché l'indagine coinvolge la Polizia Postale, che sta verificando accesso abusivo a sistema informatico e frode informatica. La compromissione di una PEC istituzionale italiana suggerisce vulnerabilità nell'infrastruttura di comunicazione pubblica del Paese.

Cosa aspettarsi

Nei prossimi mesi, diversi sviluppi sono probabili:

Indagini e responsabilità: La Polizia Postale continuerà a investigare sulla compromissione della PEC istituzionale. Sarà cruciale capire come gli attaccanti hanno ottenuto accesso a un dominio governativo e se altri enti sono stati colpiti.

Azioni legali: I clienti Revolut coinvolti potrebbero intentare cause collettive per negligenza nella verifica delle richieste di dati. Revolut potrebbe affrontare sanzioni da parte delle autorità di protezione dei dati europee (EDPB, Garante Privacy italiano).

Cambiamenti procedurali: È probabile che Revolut e altre fintech implementino verifiche più rigorose per le Emergency Data Request, magari richiedendo conferma telefonica diretta alle autorità prima di trasmettere dati sensibili.

Dibattito su KYC e Zero-Knowledge Proof: Il caso ha riacceso la discussione sulla sicurezza dei dati KYC conservati dalle banche digitali. Alcune aziende stanno esplorando tecnologie come gli Zero-Knowledge Proof, che permetterebbero di verificare l'identità di un cliente senza conservare copie dei documenti originali. Google ha già nominato le banche tedesche Sparkasse come primo emittente di credenziali per i controlli sull'età nell'UE, un primo passo verso sistemi di verifica decentralizzati.

Monitoraggio dei dati rubati: Gli utenti coinvolti dovrebbero monitorare attentamente email, SMS e chiamate sospette nei prossimi mesi. Servizi come Have I Been Pwned permettono di verificare se il proprio indirizzo email compare in database di violazioni pubbliche.

Per chi usa Revolut o altre fintech, il messaggio è chiaro: la comodità dei servizi digitali non deve far dimenticare che i dati personali rimangono un bersaglio di valore. Attivare autenticazione a due fattori, usare password univoche e rimanere scettici verso comunicazioni non sollecitate rimangono difese essenziali.