L’investigatore on-chain ZachXBT ha rivelato oggi che Revolut aveva divulgato informazioni personali e finanziarie altamente sensibili appartenenti ad alcuni clienti, dopo aver ricevuto quella che sembrava una richiesta autentica da parte delle autorità governative.
L’azienda ha inviato email agli utenti interessati, ammettendo che i dati esposti includevano passaporti, selfie di verifica, indirizzi e la cronologia completa delle transazioni Bitcoin.
Che cosa è stato esposto
Nell’email inviata ai clienti e condivisa da ZachXBT sulla sua pagina Telegram, Revolut ha spiegato di aver ricevuto una richiesta di informazioni che sembrava provenire da un’agenzia governativa legittima. Il mittente non si era limitato a falsificare un indirizzo che sembrava ufficiale. La richiesta proveniva da un account email non autorizzato che utilizzava il dominio email effettivo dell’agenzia governativa e disponeva di credenziali di autenticazione del dominio valide, ha aggiunto l’azienda.
Revolut ha dato seguito alla richiesta, ritenendola legittima. Le informazioni divulgate avrebbero potuto includere i nomi completi, le date di nascita, le professioni, gli indirizzi di casa, gli indirizzi email e i numeri di telefono di alcuni clienti. I dati più sensibili comprendevano copie di passaporti e/o patenti di guida, oltre alle immagini dei selfie forniti dai clienti durante la procedura di verifica. La buona notizia, secondo l’azienda, è che i dati biometrici facciali in sé non sono stati compromessi.
Tuttavia, la società ha dichiarato di aver fornito informazioni finanziarie, tra cui estratti conto contenenti IBAN, date di apertura dei conti e numeri di riferimento dei wallet, oltre ai registri dei prelievi e alla cronologia completa delle transazioni, comprese quelle in BTC.
Finora Revolut non ha reso noto pubblicamente il nome dell’ente governativo coinvolto e la comunicazione inviata ai clienti non indica se siano state consultate password, chiavi private o i loro fondi.
Prendersela con i ricchi?
L’analista on-chain ha descritto l’incidente come «probabilmente limitato per portata», poiché sembrava che i responsabili avessero preso di mira solo gli utenti con un patrimonio elevato. Tuttavia, ciò non è stato confermato né in modo indipendente né dalla stessa Revolut. Inoltre, la società non ha reso noto il numero effettivo di clienti coinvolti.
In base alle informazioni disponibili al momento della pubblicazione, l’incidente sembra consistere in una divulgazione non autorizzata, piuttosto che in una compromissione diretta dell’infrastruttura di Revolut. La società stessa invita gli enti governativi e le forze dell’ordine a presentare le richieste ufficiali di informazioni tramite un canale dedicato.
Fonte: CryptoPotato
