Revolut ha divulgato informazioni sensibili sui clienti dopo aver trattato una richiesta di phishing come una comunicazione legittima proveniente da un ente governativo, secondo CryptoNinjas.

Secondo quanto riferito, le informazioni esposte includevano copie di passaporti e patenti di guida, selfie per la verifica, cronologie complete delle transazioni Bitcoin e indirizzi di casa. L’investigatore della blockchain ZachXBT ha affermato che l’incidente sembrava limitato per portata, ma potrebbe aver preso di mira utenti di criptovalute con un patrimonio elevato.

All’incidente è stato assegnato un punteggio degli utenti pari a 8.7. L’episodio evidenzia i rischi legati all’affidamento su controlli di sicurezza basati sulla fiducia quando una richiesta sembra provenire da un indirizzo email governativo ufficiale.

Revolut ha trattato la richiesta fraudolenta come ufficiale

Un avviso ai clienti ha riferito che Revolut aveva ricevuto una richiesta da un ente governativo valido che sosteneva di contenere informazioni sui clienti. La richiesta era stata inviata da un indirizzo email non autorizzato appartenente al dominio ufficiale dell’agenzia, ma disponeva di credenziali valide per l’autenticazione del dominio. Revolut ha quindi trattato la comunicazione come una richiesta governativa autentica e ha divulgato le informazioni dei clienti prima di scoprire che si trattava di una frode.

I dati divulgati rientravano in diverse categorie, tra cui informazioni personali, di contatto, identificative e finanziarie. Secondo l’avviso, comprendevano i nomi completi dei clienti, gli indirizzi postali, gli indirizzi email, le date di nascita, le professioni e i numeri di telefono.

Tra i dati esposti anche le cronologie delle transazioni Bitcoin

Le informazioni finanziarie sono particolarmente rilevanti per gli utenti di criptovalute. Revolut ha dichiarato che i documenti divulgati contenevano estratti conto, IBAN, informazioni sullo stato dei conti, numeri di riferimento dei wallet, cronologie dei prelievi e registri completi delle transazioni, comprese quelle in Bitcoin.

I dati includevano inoltre documenti d’identità e informazioni destinate ad accompagnare fotografie e copie di passaporti o patenti di guida. Revolut ha specificato che i dati biometrici di telemetria facciale non erano inclusi.

La divulgazione potrebbe creare un collegamento tra le identità reali e l’attività in criptovalute. I documenti d’identità, gli indirizzi e i numeri di telefono sono generalmente conservati off-chain, mentre le transazioni Bitcoin sono registrate pubblicamente on-chain. Questa distinzione significa che l’incidente riguardava informazioni detenute da una piattaforma finanziaria, non una modifica ai registri delle transazioni Bitcoin o alla sicurezza della rete.

ZachXBT solleva il possibile rischio di un’azione mirata

ZachXBT ha attirato una maggiore attenzione sull’incidente con un avviso alla community su Telegram. Ha affermato che il numero di utenti interessati era probabilmente limitato, suggerendo al contempo che l’incidente sembrava aver preso di mira persone con un patrimonio elevato.

Per gli utenti con un’attività significativa in Bitcoin nei propri conti Revolut, combinare i dati sulle transazioni con le informazioni identificative e sulla posizione potrebbe fornire agli aggressori un profilo dettagliato della loro storia finanziaria e on-chain.

Dopo aver scoperto la frode, Revolut ha informato le persone interessate. La società ha inoltre dichiarato che l’incidente non era collegato al furto di fondi dei clienti. La risposta riportata si è quindi concentrata sull’esposizione di informazioni relative ai conti e all’identità, mentre l’avviso disponibile non descriveva alcuna perdita di asset dei clienti.

Il caso illustra una forma di rischio per la sicurezza delle criptovalute che non richiede a un aggressore di compromettere una blockchain o ottenere una chiave privata. Anche l’accesso a informazioni off-chain che collegano un utente Bitcoin alla sua attività può creare rischi significativi per i detentori di Bitcoin.