Gli hacker responsabili del recente data breach presso la piattaforma fintech globale Revolut hanno minacciato di vendere le informazioni rubate ad altri gruppi criminali se non riceveranno i 200 bitcoin richiesti entro 24 ore. L'azienda ha dichiarato che l'incidente è derivato da uno schema fraudolento di impersonificazione e non da una compromissione diretta dei suoi sistemi, e che non intende pagare alcun riscatto.

Gli hacker chiedono 6.000 XMR

Il gruppo responsabile dell'attacco, che si fa chiamare "iamnotavillain", ha pubblicato la propria richiesta online insieme a un conto alla rovescia, secondo il Financial Times. Ha chiesto 6.000 XMR, una cifra valutata circa 3 milioni di dollari al momento della pubblicazione del rapporto. I termini basati su un conto alla rovescia sono una tattica di pressione standard nei tentativi di estorsione, concepiti per comprimere la finestra decisionale del bersaglio.

La scelta di Monero è significativa in un caso di estorsione nell'ambito delle criptovalute. A differenza della rete Bitcoin, dove le transazioni sono visibili apertamente on-chain, Monero è progettato per offrire maggiore privacy nelle transazioni, rendendo i pagamenti notevolmente più difficili da tracciare. È proprio questo focus sulla privacy il motivo per cui le privacy coin rappresentano una scelta ricorrente per i pagamenti estorsivi.

Secondo il Financial Times, gli hacker hanno dichiarato di non aver avuto alcuna comunicazione con Revolut fino al momento della pubblicazione della richiesta. Il gruppo ha anche diffuso un breve video che sembrava essere uno screenshot dei dati dei clienti presuntivamente raccolti durante l'incidente.

Circa 680 account clienti coinvolti

Dati legati a circa 680 account clienti sarebbero stati rubati nel breach. Revolut ha dichiarato che l'incidente non ha comportato una violazione diretta dei sistemi centrali, database o account clienti. Gli attaccanti avrebbero invece inviato richieste fraudolente utilizzando un'applicazione e-mail collegata a un ente governativo reale. Le richieste erano presentate come richieste ufficiali di carattere istituzionale, e Revolut ha consegnato i documenti prima di accorgersi che erano fraudolenti. Impersonare un canale ufficiale per indurre un'organizzazione a consegnare dati è un vettore di social engineering riconosciuto che non richiede alcuna compromissione dell'infrastruttura di un'azienda.

Il materiale esposto includerebbe passaporti, patenti, immagini di verifica dell'identità e cronologie delle transazioni. Ulteriori informazioni in alcuni documenti erano collegate alle transazioni in criptovalute dei clienti. A differenza di una password compromessa, i documenti d'identità non possono essere azzerati, ed è per questo che il materiale di verifica trapelato può conservare il proprio valore per i criminali ben oltre l'immediato incidente.

Revolut ha dichiarato di aver bloccato l'indirizzo in questione e di aver informato l'ente governativo competente, le forze dell'ordine e il regolatore.

Le criptovalute detenute hanno aiutato gli attaccanti a scegliere i bersagli

Il presunto ricorso all'analisi della blockchain introduce un elemento cripto distintivo nel breach. Gli hacker avrebbero studiato le transazioni blockchain per scoprire quali utenti di Revolut fossero sospettati di detenere grandi quantità di criptovalute.

Sebbene una blockchain pubblica possa mostrare l'attività dei wallet e i flussi di transazioni, in genere sono necessarie molte più informazioni provenienti da un exchange o da un servizio finanziario per collegare un indirizzo blockchain a una persona specifica. In questo caso, la combinazione dei dati delle transazioni blockchain e dei documenti clienti rubati potrebbe fornire a un attaccante un quadro chiaro dell'identità e degli asset cripto di un utente. I dettagli relativi alla selezione dei bersagli non sono stati verificati in modo indipendente. L'episodio illustra perché gli exchange e le piattaforme fintech considerano l'associazione tra documenti di identità e attività on-chain tra i dati più sensibili che possiedono.

Revolut respinge il contatto diretto per il riscatto

C'è una divergenza tra quanto annunciato dagli attaccanti e quanto riportato da Revolut. L'azienda ha dichiarato di non aver ricevuto contatti diretti dal gruppo che si assume la responsabilità dell'attacco e di non intendere pagare alcun riscatto. Revolut ha aggiunto che i clienti coinvolti vengono assistiti e ha descritto l'incidente come il risultato di uno schema esterno di impersonificazione.

L'attenzione si sposta ora sul fatto che il gruppo metta in atto la minaccia dichiarata una volta scaduto il termine, e su ciò che emergerà dalle segnalazioni alle forze dell'ordine e ai regolatori che Revolut afferma aver effettuato.

La fuga di dati evidenzia una preoccupazione specifica per gli utenti del settore cripto: i dati personali di identità, quando vengono combinati con dettagli finanziari legati alla blockchain, possono essere particolarmente utili per i criminali. Queste informazioni possono essere sfruttate per phishing mirato, impersonificazione o ulteriori tentativi di accedere agli asset digitali.