Bastava un indirizzo email istituzionale autentico. Il resto lo ha fatto la fiducia.
Un mittente credibile, una richiesta di dati formulata come ne arrivano ogni giorno agli uffici compliance delle banche, e Revolut ha consegnato scansioni di passaporti, numeri di conto, indirizzi di residenza e persino informazioni sulle posizioni in bitcoin di alcuni correntisti. Dall’altra parte, però, non c’era un’autorità: c’era un criminale informatico che aveva messo le mani su una casella di posta governativa.
La vicenda, anticipata dal Financial Times, riguarda 680 clienti, che la fintech ha già contattato uno a uno sulla base di una prima ricostruzione interna. Il fine settimana in Revolut è trascorso nel tentativo di arginare l’incidente e capirne il perimetro.
Il nodo: spoofing o accesso ai sistemi dell’autorità?
Secondo quanto trapela, il messaggio sarebbe stato una Pec riconducibile a un’autorità italiana legittimata a richiedere dati della clientela agli istituti di credito. Banca d’Italia e Agenzia per la cybersicurezza nazionale hanno avviato accertamenti, e — secondo quanto risulta a MF-Milano Finanza — il primo fronte di indagine riguarda proprio la genesi del messaggio. Due gli scenari sul tavolo: un classico spoofing, cioè la contraffazione dell’identità digitale del mittente per simulare una fonte attendibile, oppure una Pec effettivamente partita dai sistemi dell’ente, ipotesi che implicherebbe una compromissione ben più seria.
La richiesta di riscatto
Chi rivendica l’operazione ha alzato la posta: i dati sottratti verranno diffusi se la fintech non pagherà. Sul piano regolamentare il caso è approdato anche a Londra: lunedì 14 l’Information Commissioner’s Office, il garante privacy britannico, ha reso noto di aver aperto un’istruttoria, dopo che Revolut aveva notificato spontaneamente la violazione nei giorni precedenti.
Ottanta milioni di clienti, cinque milioni in Italia
L’episodio misura quanto pesi oggi il rischio cyber sulle imprese. Nata nel 2015, Revolut si è imposta come la principale fintech del continente: 80 milioni di clienti in 30 Paesi e una valutazione di 115 miliardi di dollari emersa da una recente transazione sul mercato secondario. In Italia il gruppo dichiara 5 milioni di clienti, come rivelato da MF-Milano Finanza lo scorso maggio.
Tra i nomi coinvolti figurerebbero il tennista Alexander Shevchenko e Mark Karpelès, che guidò Mt Gox, all’epoca il maggiore exchange di bitcoin al mondo. Karpelès ha riferito di essersi visto recapitare l’avviso di Revolut alle 5:25 del mattino del 12 settembre: «Pensavo fosse una truffa… all’inizio mi sono dispiaciuto per loro», ha dichiarato al Ft. Oggi però la sua posizione è netta: l’azienda non avrebbe dovuto cedere quei dati, a prescindere dal fatto che la richiesta arrivasse da un dominio governativo verificato. Mt Gox chiuse i battenti dopo un attacco informatico devastante, al termine del quale Karpelès fu condannato per manipolazione di dati elettronici.
La posizione della società
Un portavoce di Revolut parla di «una sofisticata truffa esterna basata sull’impersonificazione, nella quale una terza parte non autorizzata ha utilizzato l’indirizzo email di un dominio appartenente a una legittima agenzia governativa per presentare richieste fraudolente di informazioni». L’indirizzo, spiega la società, è stato «immediatamente bloccato» non appena individuata l’anomalia, con successiva informativa ad autorità di vigilanza e clienti interessati. «I sistemi di Revolut e i fondi dei clienti non sono stati interessati».