Revolut, la società fintech britannica, ha confermato il 12 settembre di aver divulgato informazioni sensibili sui clienti dopo aver ricevuto richieste fraudolente di dati da un indirizzo email che si spacciava per quello di una legittima agenzia governativa.

I messaggi contraffatti hanno superato i controlli di autenticazione SPF, DKIM e DMARC, i tre principali protocolli utilizzati dai server email per verificare se un messaggio proviene da una fonte autorizzata e se il suo contenuto è stato alterato. Questi controlli aiutano a convalidare l’origine tecnica e l’integrità di un’email, ma da soli non stabiliscono che una richiesta provenga realmente dall’agenzia governativa che sostiene di rappresentare. Revolut ha descritto l’incidente come una “sofisticata truffa di impersonificazione esterna”.

Dati esposti e clienti presi di mira

Le informazioni compromesse includevano i nomi completi dei clienti, le date di nascita, i recapiti, copie dei documenti di identità, le cronologie delle transazioni e gli estratti conto. Revolut ha dichiarato che non sono stati condivisi dati biometrici di telemetria facciale, che non sono stati sottratti fondi dei clienti e che i suoi sistemi bancari principali non sono stati compromessi.

La società non ha reso noto il numero esatto degli utenti coinvolti. Secondo alcune segnalazioni, potrebbe essere stato preso di mira specificamente un gruppo selezionato di individui con patrimoni elevati. L’analista on-chain ZachXBT ha affermato che l’incidente sembrava avere una portata limitata. Le notifiche ai clienti hanno iniziato a circolare intorno all’11 settembre, un giorno prima della conferma pubblica della violazione da parte di Revolut.

Come le richieste fraudolente hanno superato le protezioni email

SPF verifica se il server mittente è autorizzato a inviare email per conto di un dominio. DKIM verifica che il contenuto del messaggio non sia stato manomesso durante la trasmissione. DMARC combina questi controlli e indica ai server riceventi come gestire i messaggi che non superano l’autenticazione.

Nonostante queste protezioni, le email fraudolente hanno superato tutti e tre i protocolli. Revolut ha dichiarato di aver bloccato l’indirizzo email fraudolento, contattato gli organismi di regolamentazione e le forze dell’ordine, nonché l’agenzia governativa la cui identità era stata impersonata. La società non ha identificato pubblicamente tale agenzia.

L’incidente dimostra perché la sola autenticazione delle email non costituisca un processo di verifica completo per le richieste di dati sensibili. I messaggi hanno superato i controlli tecnici anche se le richieste erano fraudolente, rendendo il successivo coinvolgimento di autorità di regolamentazione, forze dell’ordine e agenzia impersonata parte della risposta ancora in corso.

Precedente incidente di sicurezza

L’ultima violazione non è il primo incidente di sicurezza dei dati che coinvolge Revolut. Nel 2022, la società ha subito una violazione che ha interessato decine di migliaia di clienti. Quell’incidente ha comportato un accesso non autorizzato ottenuto attraverso l’ingegneria sociale ai danni di un dipendente. L’episodio più recente ha invece preso di mira il processo di conformità in sé, anziché le credenziali dei singoli dipendenti.

L’incidente si verifica mentre Revolut persegue l’espansione in Europa e oltre e segnala ambizioni di quotazione in borsa. Per i clienti, il rischio immediato è informativo più che finanziario. I documenti di identità e le cronologie delle transazioni possono essere utilizzati per furti d’identità, campagne di phishing mirate e attacchi di ingegneria sociale.

Fonte: CryptoBriefing