Tanto per inquadrare il problema, si parla delle evoluzioni di questa situazione:
https://securebulletin.com/fraudulent-government-request-exposes-revolut-kyc-records-and-transaction-histories/
e questa:
https://www.cybersecurity360.it/news/revolut-dati-esposti-dopo-una-falsa-richiesta-governativa-il-limite-della-fiducia-digitale/
Il caso della fuga di dati che ha coinvolto Revolut potrebbe essere decisamente più grosso di quanto emerso inizialmente. E soprattutto potrebbe avere un collegamento diretto con l'Italia.
Partiamo da ciò che sappiamo con ragionevole certezza. Revolut ha confermato di aver consegnato informazioni sensibili appartenenti ad alcuni suoi clienti a un soggetto non autorizzato. La particolarità è che non risulterebbe esserci stata una violazione diretta dei sistemi informatici della banca: gli attaccanti avrebbero invece inviato richieste di informazioni apparentemente provenienti da un'agenzia governativa, utilizzando un indirizzo appartenente a un dominio istituzionale autentico.
Le richieste apparivano quindi tecnicamente legittime e Revolut le avrebbe elaborate come normali richieste provenienti dalle autorità.
Secondo il Financial Times sarebbero circa 680 i clienti coinvolti. Tra le informazioni potenzialmente consegnate figurano nomi, date di nascita, indirizzi, email e numeri di telefono, copie di passaporti o patenti, selfie utilizzati durante le procedure KYC, IBAN, estratti conto, prelievi e cronologia delle transazioni, comprese quelle relative a Bitcoin.
Fin qui siamo nel territorio delle informazioni confermate.
Nelle ultime ore, però, è emersa una seconda parte della storia, per il momento basata esclusivamente sulle dichiarazioni dell'attaccante e quindi da prendere con la necessaria cautela.
Il threat actor che utilizza il nome IAmNotAVillain sostiene infatti che l'infrastruttura governativa utilizzata per ottenere i dati da Revolut sarebbe riconducibile alle forze dell'ordine italiane.
Secondo la sua versione, l'operazione sarebbe durata addirittura sei mesi. Durante questo periodo gli attaccanti avrebbero avuto accesso a sistemi utilizzati dalle autorità italiane e li avrebbero sfruttati per inoltrare a Revolut richieste di informazioni che, dal punto di vista della fintech, apparivano autentiche.
Se questa ricostruzione fosse confermata, cambierebbe parecchio la prospettiva dell'incidente: Revolut non sarebbe stata semplicemente ingannata attraverso un'email contraffatta, ma avrebbe ricevuto richieste provenienti da un'infrastruttura istituzionale realmente compromessa.
L'attaccante sostiene inoltre di aver sottratto dalla parte italiana circa 147 GB di materiale, comprendente documenti interni, calendari e materiale personale. Tra le informazioni rivendicate ci sarebbero persino conversazioni private appartenenti a funzionari.
Anche questi dettagli, è importante sottolinearlo, non risultano al momento confermati dalle autorità italiane.
IAmNotAVillain sostiene inoltre che i dati Revolut ottenuti riguardino prevalentemente clienti residenti in Svizzera e Francia, ma che siano presenti persone residenti in numerosi altri Paesi, tra cui Italia, Germania, Spagna, Portogallo, Regno Unito, Paesi Bassi, Austria, Belgio, Irlanda, Svezia, Norvegia, Finlandia, Danimarca, Grecia, Polonia, Romania e diversi altri Stati europei.
L'attaccante afferma infine che nel materiale sarebbero presenti anche personaggi di alto profilo. Tra i nomi rivendicati compare quello del calciatore Georges Mikautadze.
Quest'ultima parte della vicenda necessita ancora di verifiche indipendenti.
La cosa forse più interessante dell'intero incidente, però, è il metodo utilizzato. Non sarebbe stato necessario violare direttamente Revolut: sarebbe bastato compromettere chi possiede l'autorità per chiedere legalmente i dati a Revolut.
È una differenza tutt'altro che marginale.
Banche, operatori telefonici, provider e piattaforme online ricevono continuamente richieste di informazioni dalle autorità. Se un attaccante riesce a impossessarsi di un account o di un sistema utilizzato per effettuare quelle richieste, può trasformare un meccanismo nato per le indagini in uno strumento per l'esfiltrazione dei dati.
In altre parole, invece di forzare la cassaforte, si convince chi possiede la chiave ad aprirla.
Per il momento sappiamo che Revolut ha confermato l'invio di dati in seguito a richieste fraudolente provenienti da un dominio governativo autentico. Non sappiamo invece ufficialmente quale fosse l'agenzia coinvolta e Revolut non l'ha identificata pubblicamente.
La presunta compromissione delle forze dell'ordine italiane e i 147 GB sottratti restano quindi una rivendicazione dell'attaccante.
Se quella parte della storia dovesse trovare conferma, però, il "data breach di Revolut" sarebbe soltanto uno degli effetti visibili di un incidente molto più grande.
E a quel punto il problema principale non sarebbe più Revolut.
