La banca britannica ha risposto alle richieste di un indirizzo PEC della Prefettura di Reggio Calabria. L'account era vero ma controllato dai cybercriminali. L'azienda ha consegnato dati dei clienti per mesi prima di fare scattare le verifiche
Revolut ha fornito dati personali e finanziari dei propri clienti a un gruppo di cybercriminali, che ha impersonato un indirizzo PEC legittimo di autorità italiane chiedendo la consegna di dati sensibili.
PUBBLICITÀ
PUBBLICITÀ
La fintech britannica per mesi ha inviato i file richiesti prima di insospettirsi e verificare con le autorità italiane che hanno negato di avere inviato le e-mail, inclusa la polizia postale competente per le transazioni on line e in nome di cui venivano inviate le richieste ufficiali.
Sull'episodio indagano ora gli inquirenti italiani per accesso abusivo a sistema informatico e frode informatica e l'autorità britannica per la privacy, dopo la segnalazione inviata dalla stessa società.
Cosa è Revolut e quanti clienti sono stati truffati
Revolut conta oltre 80 milioni di clienti di cui 5 in Italia, secondo le stime del quotidiano Milano Finanza.
Di questi hanno subito una violazione dei dati 680, a livello globale incluse diverse personalità, secondo il Financial Times, a cui l'azienda ha inviato una notifica confermando l'incidente del 12 settembre.
In una nota, riportata dal Corriere della Sera, l'azienda ha definito l'accaduto una "sofisticata truffa di impersonificazione esterna" e parlato di un numero "molto limitato" di persone coinvolte. "Al momento del rilevamento, abbiamo immediatamente bloccato l'indirizzo e avvisato l'agenzia governativa competente, così come le agenzie di applicazione della legge, la protezione dei dati e i regolatori finanziari", si legge nel comunicato.
"I sistemi Revolut e i fondi dei clienti non sono stati toccati. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle e fornire supporto", ha proseguito la società.
I criminali digitali si sono infiltrati nella casella di posta elettronica certificata della Prefettura e ne hanno assunto il controllo, senza dunque dovere falsificare l'identità del mittente o condurre attacchi hacker diretti ai sistemi di Revolut.
I file consegnati comprendono dati anagrafici, indirizzi, contatti, copie di documenti d'identità, foto per il riconoscimento facciale, estratti conto e cronologia delle transazioni, incluse quelle in criptovalute.
L'attacco è stato condotto da un gruppo firmatosi "iamnotavillain" che sostiene di avere sottratto oltre 80mila file per un totale di 147 gigabyte di documenti con l'obiettivo di protestare contro le normative Kyc (Know Your Customer) e le presunte violazioni nella gestione transfrontaliera dei dati.
Tra le vittime sembra esserci un imprenditore francese Mark Robert Karpelès, che ha protestato sui social: "Revolut non avrebbe dovuto inviare dati dei clienti in risposta a un'e-mail solo perché proveniva da un'agenzia governativa".