Los hackers que se atribuyen la reciente exposición de información de clientes de Revolut han intensificado el incidente con una demanda pública de rescate de 3 millones de dólares.
El grupo, que se hacía llamar “iamnotvillain”, publicó un ultimátum exigiendo 6.000 Monero, valorados en aproximadamente 3 millones de dólares en ese momento. Los atacantes dieron a Revolut 24 horas para pagar y amenazaron con vender la información de los clientes a otros grupos criminales si la empresa se negaba.
A pesar de la amenaza pública, Revolut afirma que no ha recibido una demanda de rescate directamente del grupo y no ha tenido contacto con quienes hacen esas afirmaciones.
El intento de extorsión sigue a la revelación de un incidente de seguridad en el que una parte no autorizada obtuvo información sensible perteneciente a cientos de clientes de Revolut.
En lugar de acceder directamente a la infraestructura bancaria de Revolut, los atacantes usaron solicitudes de información fraudulentas que parecían originarse en un dominio legítimo de correo electrónico de una agencia gubernamental. Revolut respondió a esas solicitudes y reveló información de los clientes antes de descubrir el engaño.
Se calcula que alrededor de 680 clientes se vieron afectados. La información expuesta en el incidente incluía datos de identidad y de contacto. Las notificaciones enviadas a los clientes afectados mostraron que la información comprometida podía incluir fechas de nacimiento, direcciones postales y de correo electrónico, números de teléfono y copias de documentos de identidad como pasaportes y licencias de conducir.
Dependiendo del cliente, también podrían haber sido expuestos selfies de verificación, extractos de cuenta e historiales de transacciones. Los atacantes afirman que obtuvieron la información tras acceder a un sistema de comunicaciones del gobierno italiano y usarlo para hacerse pasar por agentes de la ley. También han afirmado que clientes con importantes criptomonedas fueron deliberadamente atacados.
Esos detalles se basan en parte en el propio relato de los atacantes sobre la operación y no todos han sido confirmados de forma independiente. El grupo ha intentado demostrar la posesión de la información compartiendo material que parece contener registros de clientes. También se informó que proporcionó una breve grabación de pantalla que mostraba a alguien navegando por una colección de documentos.
La demanda de 3 millones de dólares se está generando en Monero, una criptomoneda diseñada para ofrecer mayor privacidad en las transacciones que muchas otras monedas digitales.
La naturaleza pública del ultimátum es notable porque los grupos de extorsión cibernética suelen intentar negociar en privado con las víctimas antes de publicar amenazas o información robada. En este caso, Revolut afirma que no se ha llevado a cabo tal negociación.
Las autoridades italianas están investigando cómo se supone que se abusó de un canal oficial de comunicación gubernamental y si la cuenta de correo electrónico subyacente o los sistemas asociados fueron comprometidos.