Revolut, la società di tecnologia finanziaria con sede a Londra, ha rivelato informazioni sensibili appartenenti a 680 clienti dopo che dei cybercriminali hanno utilizzato un account email governativo legittimo per inviare richieste fraudolente di dati dei clienti, secondo un rapporto del Financial Times.

Le informazioni esposte includevano dettagli dei passaporti, numeri di conto bancario, indirizzi di casa, immagini di verifica dell'identità e attività in Bitcoin. Secondo il rapporto, gli aggressori ora minacciano di diffondere le informazioni rubate se Revolut non paga un riscatto. La notizia dell'incidente è stata evidenziata anche da @WuBlockchain su X.

Invece di sfruttare una vulnerabilità tecnica convenzionale per accedere direttamente ai sistemi dei clienti, gli aggressori hanno apparentemente utilizzato lo status affidabile dell'account governativo per ottenere le informazioni da Revolut, inviando richieste di dati fraudolente che sembravano provenire da un canale ufficiale. Le istituzioni finanziarie ricevono regolarmente ed elaborano richieste di dati ufficiali da agenzie governative, un processo che si basa sull'assunzione che le istruzioni provenienti da canali autorevoli siano genuine. I ricercatori di sicurezza hanno in precedenza documentato casi in cui criminali hanno utilizzato account email compromessi di enti governativi o forze dell'ordine per ingannare le aziende e ottenere dati degli utenti.

Revolut blocca l'account governativo compromesso

Revolut ha dichiarato di aver bloccato l'account email dopo aver identificato l'attività fraudolenta e di aver informato sia i regolatori che i clienti coinvolti.

La società si trova anche ad affrontare il controllo dell'Information Commissioner's Office del Regno Unito (ICO), l'autorità di regolamentazione indipendente per la protezione dei dati del Regno Unito, che ha aperto un'indagine sull'incidente. L'ICO ha l'autorità di imporre sanzioni finanziarie alle organizzazioni trovate in violazione della legge sulla protezione dei dati. Il coinvolgimento del regolatore potrebbe mettere ulteriore attenzione su come le istituzioni finanziarie autenticano le richieste di dati e proteggono le informazioni sensibili dei clienti quando trattano con autorità esterne.

Tra le persone colpite c'era Mark Karpelès, ex CEO dell'exchange Bitcoin Mt. Gox — la piattaforma con sede a Tokyo crollata nel 2014 dopo uno dei più grandi hack del settore — un dettaglio che evidenzia l'ampia portata delle informazioni sui clienti coinvolte.

L'attività Bitcoin tra i dati esposti solleva preoccupazioni di sicurezza per gli utenti crypto

L'incidente ha un significato particolare per gli utenti di criptovalute perché le informazioni compromesse includevano, secondo quanto riportato, attività in Bitcoin oltre a registri finanziari e di identità convenzionali. Le società fintech detengono gran parte di queste informazioni perché le normative antiriciclaggio richiedono loro di verificare l'identità dei clienti prima di fornire servizi.

La combinazione di informazioni finanziarie con dettagli dei passaporti, indirizzi residenziali e immagini di verifica dell'identità può creare rischi aggiuntivi per le persone colpite, in particolare quando gli aggressori tentano di utilizzare il materiale per ulteriori frodi o ricatti.

L'episodio evidenzia anche una sfida di sicurezza più ampia per le società di tecnologia finanziaria: i canali di comunicazione legittimi possono diventare essi stessi strumenti diegneria sociale quando gli aggressori ottengono l'accesso a account istituzionali affidabili.

La risposta di Revolut, compreso il blocco dell'account compromesso e la notifica a regolatori e clienti, sarà ora esaminata insieme all'indagine dell'ICO. La questione cruciale ancora aperta è come le richieste fraudolente siano state autenticate e se saranno necessarie ulteriori misure di sicurezza per prevenire divulgazioni simili.

Fonte: Hokanews