Revolut conferma di aver inviato i dati del passaporto e delle transazioni in Bitcoin a un falso indirizzo email governativo

Revolut ha confermato che alcuni truffatori hanno ingannato la piattaforma inducendola a fornire i dati dei clienti, comprese informazioni che, secondo le sue stesse comunicazioni, riguardavano passaporti, selfie per la verifica e registri delle transazioni in Bitcoin.

La richiesta proveniva da un dominio email autentico di un ente governativo ed era corredata da credenziali valide. Revolut l'ha ritenuta autentica e ha fornito i dati.

Cosa dice Revolut che è successo

Un portavoce di Revolut ha detto a BeInCrypto che la banca ha bloccato il mittente non appena si è accorta del problema.

«Revolut ha recentemente individuato un sofisticato attacco esterno di impersonificazione, in cui una terza parte non autorizzata ha utilizzato l’indirizzo email del dominio di una legittima agenzia governativa per inviare richieste fraudolente di informazioni… I sistemi di Revolut e i fondi dei clienti non sono stati coinvolti.»

L’azienda afferma di aver avvisato l’agenzia, la polizia e le autorità di regolamentazione competenti per la protezione dei dati e per il settore finanziario. Ha contattato quello che definisce il numero limitato di persone coinvolte.

I conti Revolut sono sicuri?

Revolut afferma che i conti sono rimasti sicuri. Ed è vero. I codici di accesso, i dati di login e i dati biometrici non sono mai stati esposti, ha dichiarato la banca a BeInCrypto. Non è stato trasferito denaro.

Le comunicazioni inviate ai clienti la mettono diversamente. Dicono che il selfie usato per la verifica è stato inviato e escludono soltanto la telemetria biometrica facciale, cioè il modello del volto che un sistema ricava da una foto. La foto in sé è un’altra questione.

Le comunicazioni elencano gli altri dati: passaporti, patenti di guida, indirizzi di residenza, estratti conto bancari. Un registro completo dei Bitcoin trasferiti in entrata e in uscita.

Revolut non dirà quale fosse il dominio dell’agenzia utilizzato, citando l’indagine di polizia in corso. Quindi nessuno al di fuori dell’azienda sa se sia stata violata una casella di posta governativa o se qualcuno già al suo interno abbia premuto «Invia».

L’investigatore blockchain ZachXBT, che di professione rintraccia criptovalute rubate, ha segnalato la fuga di dati, sottolineando che ha raggiunto un piccolo gruppo di utenti e sembrava mirare a quelli più facoltosi.

Dopo le violazioni, le liste di clienti rubate hanno alimentato il rischio di phishing. La diffusione di indirizzi di casa è stata in passato seguita da attacchi violenti contro i possessori di criptovalute.

Revolut ha descritto l'accaduto come un attacco sofisticato. Ma, secondo la sua stessa ricostruzione, l'aggressore ha usato un sistema di posta elettronica governativo legittimo per inviare una richiesta fraudolenta. Revolut ha accettato quella richiesta come autentica e ha fornito i dati.

Fonte: BeInCrypto