Gli hacker di Revolut cambiano bersaglio: ora ricattano gli utenti

iStock

• Un gruppo hacker ha sottratto dati di clienti Revolut e tenta ora un ricatto diretto, sfruttando documenti, volti e movimenti bancari per chiedere denaro.
• L’attacco è nato da una PEC della Prefettura di Reggio Calabria usata per fingersi un’autorità, inducendo la fintech a consegnare informazioni di circa 680 clienti.
• La vicenda ha acceso indagini in Italia e nel Regno Unito e impone prudenza contro phishing, furti d’identità e richieste sospette via email o chat.

Chi ha un conto Revolut potrebbe ricevere un messaggio inquietante: qualcuno dichiara di possedere i suoi documenti, il suo volto e l’intera cronologia dei movimenti bancari, e propone di tenerli fuori dal mercato nero dietro pagamento.

È la nuova strategia del gruppo che ha colpito la fintech britannica, in un caso partito da una falsa richiesta delle forze dell’ordine inviata da una casella PEC italiana e arrivato a coinvolgere anche le istituzioni del nostro Paese.

• Come si è evoluto l'approccio degli hacker?
• La "richiesta" ai clienti
• L'attacco hacker e i provvedimenti
• I profili a rischio
• Come difendersi?

Come si è evoluto l’approccio degli hacker?

Il gruppo che si firma IAmNotAVillain ha cambiato approccio dopo che Revolut ha lasciato cadere la richiesta di riscatto: il primo passo è stata l’apertura di un Data Leak Site sulla rete Tor, una di quelle pagine del dark web che i criminali informatici usano come vetrina per mostrare o vendere i dati sottratti.

Qui sono comparse le anteprime relative a una decina di clienti, con fotografie del viso, documenti d’identità e informazioni bancarie: materiale pensato come prova, per dimostrare che l’archivio rivendicato esiste. I link sono stati segnalati e rimossi in tempi brevi, quindi al momento quei file risultano irraggiungibili.

Il secondo passo è avvenuto via Telegram, dove il gruppo ha annunciato l’intenzione di mettere in vendita l’intero pacchetto di dati. Manca una cifra ufficiale, anche se secondo alcune ricostruzioni giornalistiche il prezzo si aggirerebbe sui 300mila dollari, molto meno dei tre milioni chiesti in origine alla banca.

La “richiesta” ai clienti

Come accennavamo, però, la vera svolta riguarda il bersaglio: gli hacker si rivolgono ora direttamente ai clienti, promettendo a chi paga che i suoi dati spariranno dalla circolazione, e il meccanismo sfrutta un vantaggio che i criminali hanno in mano.

Conoscendo estratti conto e transazioni, possono stimare la disponibilità economica di ciascuna vittima e calibrare la richiesta di conseguenza. A questo si aggiunge una leva psicologica, cioè la speranza che una parte dei clienti preferisca pagare pur di mantenere riservati i propri movimenti e la propria situazione patrimoniale.

In parallelo, il gruppo ha iniziato a pubblicare campioni di file che attribuisce al Ministero dell’Interno: passaporti diplomatici, elenchi di indirizzi email riconducibili ad agenti e funzionari, documenti su sedi diplomatiche all’estero.

Gli autori sostengono di possedere oltre 85mila file di questo tipo, ma finora hanno diffuso solo estratti e gli accertamenti della Polizia Postale non hanno trovato falle nelle infrastrutture del Viminale.

L’attacco hacker e i provvedimenti

Ma come siamo arrivati qui? In realtà per ricostruire la vicenda bisogna tornare indietro di qualche mese. I server di Revolut sono rimasti intatti: il gruppo ha ottenuto il controllo di una casella di posta elettronica certificata della Prefettura di Reggio Calabria e l’ha usata per spacciarsi per un’autorità impegnata in un’indagine penale.

Le banche sono tenute a collaborare con le richieste legittime delle forze dell’ordine, e un indirizzo PEC istituzionale porta con sé un’aura di affidabilità difficile da mettere in discussione. Nel corso di diversi mesi, la fintech ha così inviato ai criminali passaporti, patenti, selfie usati per la verifica dell’identità, indirizzi di residenza ed estratti conto di circa 680 clienti, per lo più europei e con un profilo patrimoniale elevato, spesso legato alle criptovalute.

Dai conti, secondo quanto comunicato dalla società, è rimasto fermo ogni euro. Il gruppo ha poi pubblicato online una richiesta di 3 milioni di dollari in criptovaluta con una scadenza di 24 ore, rivendicando anche il furto di 147 GB di dati dal ministero, un’affermazione che al momento resta senza conferme.

Revolut ha dichiarato di aver avvisato autorità e clienti coinvolti appena individuato il problema e di aver bloccato l’indirizzo fraudolento. Nel Regno Unito l’Information Commissioner’s Office ha aperto un’istruttoria dopo la segnalazione della società. In Italia la Procura di Reggio Calabria indaga per accesso abusivo a un sistema informatico di interesse pubblico, con la Polizia Postale e la Direzione nazionale antimafia e antiterrorismo al lavoro sul caso.

I profili a rischio

I più esposti sono ovviamente i 680 clienti i cui dati sono finiti nelle mani del gruppo. La combinazione di nome, volto, documento, IBAN e storico completo delle operazioni rappresenta un kit quasi completo per il furto d’identità: permette di tentare l’apertura di conti o finanziamenti a nome della vittima e di confezionare truffe su misura, costruite su dettagli veri che rendono il messaggio credibile.

Per chi possiede somme importanti in criptovalute, la conoscenza dell’indirizzo di casa unita al patrimonio visibile apre anche a rischi che vanno oltre la sfera digitale. C’è poi la platea più ampia degli utenti Revolut, estranei al furto ma potenziali bersagli di campagne di phishing che sfruttano la notizia: email o SMS che annunciano un coinvolgimento nel data breach e invitano a cliccare su un link o a “verificare” il proprio account sono uno schema ricorrente dopo casi del genere.

Un terzo gruppo riguarda il personale pubblico. Se i file attribuiti al Viminale dovessero risultare autentici nella sostanza, agenti e funzionari i cui recapiti compaiono negli elenchi diffusi diventerebbero a loro volta bersagli appetibili per attacchi mirati. Più in generale, la vicenda mette sotto osservazione tutte le aziende che rispondono a richieste delle autorità via PEC, perché l’attacco ha fatto leva proprio sulla fiducia accordata a quel canale.

Come difendersi?

La prima regola è diffidare di qualsiasi comunicazione, anche quando riporta correttamente nome, indirizzo o dettagli del conto: nel caso Revolut quelle informazioni sono proprio ciò che i criminali possiedono. Password, codici di accesso e codici di autorizzazione vanno tenuti per sé, chiunque sia l’interlocutore, sia al telefono sia via chat. Per qualsiasi verifica conviene passare esclusivamente dall’app ufficiale, controllando movimenti e notifiche e segnalando subito eventuali anomalie attraverso i canali interni.

Chi viene contattato dagli estorsori farebbe bene a evitare qualsiasi pagamento: nessuno può garantire che i criminali cancellino davvero le copie, e cedere a una richiesta segnala la disponibilità a pagare ancora. Messaggi, screenshot e indirizzi vanno conservati e consegnati alla Polizia Postale, anche attraverso il commissariato online. Se tra i dati esposti compaiono documenti d’identità, la denuncia permette di tutelarsi in caso di utilizzi fraudolenti e di valutare la sostituzione del documento.

Qualche precauzione in più aiuta a limitare i danni nel tempo: attivare l’autenticazione a due fattori sulla casella email collegata al conto, cambiare le password riutilizzate su altri servizi e richiedere periodicamente la propria posizione alle centrali rischi, così da accorgersi in anticipo di finanziamenti o contratti aperti a proprio nome.