Un criminale ha dato alla fintech Revolut un termine di 24 ore per pagare un riscatto di 3 milioni di dollari in Monero,otherwise venderà ad altri criminali i documenti d'identità e i registri delle transazioni di centinaia di clienti, come riportato dal Financial Times.

Il gruppo, che si fa chiamare "iamnotavillain", ha pubblicato mercoledì la richiesta su un sito web creato appositamente, chiedendo "6.000 XMR / 3.000.000 di dollari" e avvertendo che in caso contrario "tutti i dati saranno venduti, e il sangue sarà sulle vostre mani." La tattica è l'estorsione dei dati: sono i file rubati stessi, e non sistemi bloccati, a fare da leva.

A distinguere questa violazione è il modo in cui le vittime sono state scelte. Il gruppo ha raccontato al FT di aver prima condotto un'analisi della blockchain per individuare i clienti di Revolut la cui attività on-chain suggeriva consistenti disponibilità, per poi colpire quegli account specifici.

Monero è una privacy coin che oscura le informazioni su mittente, destinatario e importo tramite firme ad anello e indirizzi stealth. I principali exchange di criptovalute, tra cui Binance, Coinbase e Kraken, hanno delistato l'asset.

I gruppi di estorsione richiedono il token e a volte applicano uno sconto alle vittime che pagano in esso, secondo la società di intelligence sulla blockchain TRM Labs, ma la maggior parte dei riscatti viene comunque saldata in Bitcoin, che la società descrive come "molto più facile da acquisire, trasferire e convertire su larga scala."

La violazione di Revolut

Revolut ha consegnato lei stessa i dati, rispondendo a richieste di informazioni arrivate dal dominio e-mail autentico di un enteativo e corredate da autenticazione valida. L'azienda ha definito l'episodio "una sofisticata truffa di impersonificazione esterna."

Il FT riporta che le richieste sono pervenute attraverso un sistema di posta elettronica del governo italiano compromesso e sono state inviate nell'arco di diversi mesi, coinvolgendo almeno 680 account.

I dati rubati erano estesi: nomi, date di nascita, professioni, indirizzi di residenza, copie di passaporti o patenti, i selfie che i clienti inviano per la verifica, estratti conto con IBAN e riferimenti ai wallet, registri dei prelievi e cronologie complete delle transazioni. Fintech come Revolut conservano esattamente questo dossier perché le norme know-your-customer richiedono verifiche dell'identità prima dell'apertura di un account — e, a differenza di una password, un numero di passaporto non può essere reimpostato una volta che è trapelato. Gli hacker hanno poi mostrato al FT una registrazione video dei file.

L'investigatore blockchain ZachXBT, che ha diffuso per primo la notifica ai clienti, ha dichiarato che la violazione sembrava "mirata agli utenti con patrimoni elevati," in linea con la versione del gruppo su come ha scelto le vittime. Quella combinazione di identità verificata, indirizzo di residenza e disponibilità dimostrate è il profilo alla base dell'aumento dei violenti attacchi col punteggio — agressioni fisiche in cui i criminali costringono i possessori a consegnare le proprie criptovalute.

Revolut ha dichiarato mercoledì sera di "non aver ricevuto alcun contatto diretto o richiesta da parte degli individui o del gruppo che avanza queste affermazioni." L'azienda ha definito "limitato" il numero di clienti coinvolti, ha assicurato che fondi e sistemi non sono stati compromessi e ha rifiutato di indicare l'ente coinvolto. Resta da vedere se il termine di 24 ore scadrà senza pagamento — e se l'ente dietro le richieste originali verrà mai reso noto.