Caso Revolut, dati sensibili dei clienti ceduti per una truffa via PEC

iStock

É scoppiato un caso Revolut. La nota app di finanza digitale ha infatti ceduto dati sensibili di alcuni clienti. Il verbo utilizzato è molto importante, perché qui non si parla di un “breach”, ovvero di una falla nel sistema sfruttata da abili hacker. Il tutto è stato volontariamente ceduto a seguito di un raggiro.

La società aveva scambiato per autentica una richiesta totalmente fraudolenta, giunta da parte di malintenzionati che si sono spacciati per un’agenzia governativa. Stando a quanto emerso, la mail sarebbe giunta tramite una PEC italiana. Tutto ciò ha contribuito a farla sembrare legittima. A pagarne le conseguenze, però, sono stati i clienti, soprattutto alcuni facoltosi.

Un episodio preoccupante, che mette in evidenzia tutti i rischi dell’ingegneria sociale e i limiti di alcune procedure di verifica. Vediamo cos’è successo e quali dati sono finiti nelle mani sbagliate.

Truffa a Revolut, cos’è successo

L’attacco ai danni di Revolut e dei dati dei suoi utenti non ha sfruttato alcuna falla nel sistema. A dire il vero, trattandosi di un raggiro, è stata sfruttata quella classica: la capacità di giudizio degli esseri umani. L’azienda ha ritenuto credibile la comunicazione giunta tramite PEC, trasmettendo così le informazioni richieste, salvo poi scoprire in seguito che si trattava di una truffa.

A far emergere il caso è stato ZachXBT, un investigatore indipendente noto online per tracciare le transazioni in criptovalute e smascherare frodi. Il numero di clienti colpito è stato fortunatamente limitato e tutti sono stati contattati singolarmente dall’azienda.

Quali dati sono stati rubati

L’elenco delle informazioni consegnate ai malintenzionati è considerevole. Sono stati esposti dati come:

• nome;
• data di nascita;
• professione;
• indirizzo;
• email;
• numero di telefono;
• copie di documenti d’identità;
• copie di passaporti;
• copie di patenti;
• selfie usati per la verifica dell’identità.

Sul fronte finanziario, invece, sono stati coinvolti nella truffa estratti conto con IBAN, prelievi e l’intera cronologia delle transazioni (comprese quelle in Bitcoin). Il file dei dati pesava circa 60 MB e riguardava soprattutto clienti di alto profilo, tra cui figurerebbe Mark Karpelés, ex amministratore della storica piattaforma Mt. Gox. Revolut ha però precisato che password, codici di accesso e fondi dei clienti non sono stati compromessi.

PEC ed estorsione

L’aspetto più delicato della strategia attuata risiede nell’uso della PEC. Questo strumento in Italia dovrebbe infatti garantire l’autenticità del mittente. È stato invece l’elemento cardine che ha convinto Revolut a fidarsi di quanto inviato.

Dopo il furto, i criminali avrebbero inoltre avviato un tentativo di estorsione, minacciando di pubblicare il tutto su Telegram e chiedendo un riscatto. Una volta scoperto l’inganno, Revolut ha bloccato l’indirizzo fraudolento e ha informato i clienti coinvolti, oltre alle autorità competenti, alle forze dell’ordine e ai regolatori, ribadendo che i sistemi restano sicuri.

Secondo l’informatico forense Paolo Dal Checco, il caso rivela procedure da rivedere. Tra i punti critici c’è di certo l’invio di file cifrati con le relative chiavi di decifrazione sullo stesso canale PEC. Una prassi che va ad annullare la protezione della cifratura.

A ciò si aggiunge la debolezza della verifica d’identità nella registrazione delle caselle, che in alcuni casi consentirebbe nomi arbitrari senza controlli incrociati con i registri ufficiali come Ipa per la Pubblica amministrazione e Ini-Pec per le imprese. Ecco delle possibili soluzioni:

• verifiche d’identità con SPID, CIE o riconoscimento biometrico;
• collegamento delle caselle al codice fiscale;
• controlli obbligatori con i registri ufficiali.