Revolut, la società fintech britannica che sta perseguendo una licenza bancaria e una possibile valutazione di circa $200 miliardi, ha divulgato dati sensibili dei clienti a una persona che si spacciava per un funzionario governativo. L’aggressore non ha violato i sistemi di Revolut, ma ha utilizzato un’email convincente per richiedere le informazioni.

Revolut ha descritto l’incidente come una «sofisticata truffa di impersonificazione esterna». Le informazioni esposte includevano documenti di identità, selfie per la verifica, nomi completi, date di nascita, dati di contatto, documenti finanziari come gli IBAN, cronologie dei prelievi e dati relativi alle transazioni in Bitcoin. L’azienda ha iniziato a informare i clienti l’11 settembre 2026. L’incidente è stato riportato da CryptoBriefing.

Come l’email fraudolenta ha superato i controlli di sicurezza

La richiesta sembrava provenire dal dominio email di un’agenzia governativa legittima. Ancora più importante, ha superato i controlli SPF, DKIM e DMARC, tre protocolli di autenticazione delle email utilizzati per verificare l’identità del mittente e l’integrità del messaggio.

SPF conferma che un’email è stata inviata da un server autorizzato. DKIM verifica che il messaggio non sia stato alterato durante la trasmissione. DMARC collega questi controlli e stabilisce come il destinatario debba rispondere se uno dei due fallisce. In questo caso, tutti e tre i controlli sono stati superati.

Di conseguenza, il team di conformità di Revolut aveva motivi tecnici per considerare autentica la richiesta. Il team l’ha elaborata e ha fornito i dati dei clienti a una terza parte non autorizzata, che aveva creato credenziali apparentemente valide senza accedere ai sistemi interni di Revolut.

Non sono state rubate password e non sono stati compromessi PIN o chiavi private. Revolut ha inoltre dichiarato che non è stato movimentato alcun fondo dei clienti. Tuttavia, dati personali e finanziari sono stati divulgati attraverso il processo dell’azienda per la gestione delle richieste ufficiali di informazioni.

Tra i dati esposti figurano informazioni sulle transazioni in Bitcoin

La presenza delle cronologie delle transazioni in Bitcoin aggiunge all’incidente una dimensione specifica legata alle criptovalute. Se combinati con documenti di identità e selfie per la verifica, questi dati potrebbero fornire a soggetti malintenzionati materiale utile per frodi d’identità, tentativi di ingegneria sociale o campagne di phishing mirate ai possessori di criptovalute.

Revolut ha descritto come «limitato» il numero dei clienti interessati, ma non ha reso noto il dato esatto. La consapevolezza dell’incidente è aumentata dopo che alcune persone coinvolte, tra cui figure note del settore crypto, hanno condiviso i dettagli delle notifiche ricevute.

L’attacco ha preso di mira le procedure di conformità

L’incidente non ha coinvolto un exploit zero-day né un database compromesso. Si è trattato invece di un attacco di ingegneria sociale rivolto al flusso di lavoro di conformità di Revolut per la risposta alle richieste ufficiali di dati da parte dei governi.

Revolut ha bloccato l’indirizzo email non autorizzato e ha informato le autorità responsabili dell’applicazione della legge e le agenzie di regolamentazione competenti. L’azienda ha dichiarato che i suoi sistemi restano integri e che nessun fondo dei clienti è stato interessato.

L’incidente arriva durante le iniziative per la licenza e la quotazione

La divulgazione dei dati arriva mentre Revolut persegue una licenza bancaria, un processo sottoposto al controllo delle autorità di regolamentazione sui sistemi operativi, comprese le procedure per la gestione delle informazioni sensibili dei clienti. L’azienda ha inoltre esplorato la possibilità di una quotazione in borsa con una valutazione obiettivo di circa $200 miliardi.