Hacker che hanno rivendicato la responsabilità di un data breach presso Revolut, una delle più grandi aziende di tecnologia finanziaria del Regno Unito, hanno chiesto un riscatto di 3 milioni di dollari in Monero e minacciato di vendere informazioni sensibili appartenenti a centinaia di clienti, secondo quanto riportato, sebbene la banca digitale abbia dichiarato di non aver ricevuto alcuna richiesta di riscatto diretta.

Il gruppo, che si fa chiamare "iamnotavillain", avrebbe concesso a Revolut 24 ore per pagare 6.000 token Monero, del valore di circa 3 milioni di dollari, altrimenti avrebbe venduto le informazioni rubate ad altri gruppi criminali. L'ultimatum è stato pubblicato online insieme a un conto alla rovescia, secondo il Financial Times.

La richiesta riflette la struttura orientata alla privacy di Monero. Ogni transazione Monero genera un indirizzo casuale e monouso, così che estranei non possano collegare i pagamenti al portafoglio pubblico di un utente specifico — una caratteristica che distingue la valuta dalle blockchain pubbliche pseudonime come Bitcoin e che ne ha fatto una scelta ricorrente nelle richieste di estorsione.

Il data breach, si comprende, ha interessato circa 680 clienti, mentre l'infrastruttura centrale, i database e i conti dei clienti di Revolut non sono stati violati, secondo una fonte a conoscenza della questione.

L'azienda ha dichiarato che informazioni sensibili dei clienti sono state divulgate a un terzo non autorizzato dopo che gli aggressori hanno inviato richieste fraudolente utilizzando il dominio e-mail legittimo di un ente governativo. Le informazioni rubate includerebbero, secondo quanto riportato, documenti d'identità e altri dati sensibili di almeno 680 clienti di Revolut.

Gli hacker affermano di aver scelto i propri obiettivi utilizzando l'analisi della blockchain — l'esame dei dati di transazione registrati pubblicamente per tracciare l'attività dei portafogli — per individuare i conti Revolut con consistenti holdings in crypto.

Revolut ha dichiarato di non aver avuto contatti diretti con i presunti aggressori e di non aver ricevuto alcuna richiesta di riscatto, aggiungendo un ulteriore livello di incertezza alle rivendicazioni di estorsione.

L'episodio evidenzia un rischio di cybersecurity in crescita per le piattaforme finanziarie e crypto, dove gli aggressori potrebbero non avere bisogno di penetrare i sistemi bancari centrali se gli attacchi di social engineering — che si basano sull'ingannare le persone e sfruttare processi legittimi anziché aggirare le difese tecniche — possono essere utilizzati per ottenere dati sensibili dei clienti da canali affidabili. I documenti d'identità sono abitualmente utilizzati per verificare i clienti nei servizi finanziari, il che li rende tra i tipi di dati personali più sensibili che un data breach possa esporre. Nel Regno Unito, le organizzazioni devono notificare all'Information Commissioner's Office entro 72 ore la scoperta di una violazione di dati personali che sia suscettibile di comportare un rischio per gli individui.