Revolut ha confermato che informazioni sensibili dei clienti sono state consegnate a soggetti non autorizzati dopo che dei truffatori hanno presentato richieste fraudolente utilizzando un account email ospitato su un dominio legittimo di agenzia governativa.
La società di tecnologia finanziaria ha descritto l’incidente come una “sofisticata truffa di impersonificazione esterna.” Gli aggressori non avevano bisogno di irrompere nei sistemi di Revolut. Invece, inviarono richieste di informazioni sui clienti che sembravano provenire da un’autorità governativa.
Poiché le richieste provenivano da un account email all’interno del dominio legittimo dell’agenzia, Revolut inizialmente le ha trattate come informazioni autentiche e divulgate associate a un numero limitato di clienti.
Le informazioni esposte includevano nomi, date di nascita, professioni, indirizzi postali ed email, numeri di telefono e copie di documenti d’identità come passaporti e patenti di guida.
Potrebbero essere state inoltre divulgate ulteriori informazioni. Le notifiche inviate ai clienti interessati indicano che selfie di verifica, estratti conto contabili, IBAN, registri di prelievo e cronologie complete delle transazioni potrebbero essere stati inclusi. Per alcuni clienti, tali cronologie contenevano anche transazioni in Bitcoin.
Revolut non ha rivelato esattamente quanti clienti siano stati colpiti. L’azienda ha descritto il numero come limitato e ha detto che queste persone sono state contattate direttamente.
L’identità dell’agenzia governativa il cui dominio email è stato utilizzato non è stata resa pubblica anche questa. Rimane incerto come la parte non autorizzata abbia ottenuto un account email all’interno del dominio dell’agenzia.
Dopo aver scoperto il problema, Revolut ha dichiarato di aver bloccato l’indirizzo email coinvolto e di aver avvisato l’agenzia governativa competente. Anche le forze dell’ordine, le autorità per la protezione dei dati e i regolatori finanziari sono state avvisate.
L’azienda ha dichiarato che i propri sistemi non sono stati compromessi, e che i fondi dei clienti non sono stati influenzati. Le informazioni disponibili indicano quindi una divulgazione non autorizzata tramite richieste fraudolente piuttosto che attaccanti che ottengono accesso diretto all’infrastruttura bancaria di Revolut.
L’incidente è separato da una richiesta di luglio in cui qualcuno ha offerto quello che ha descritto come 75 milioni di record clienti Revolut in vendita. Revolut ha dichiarato all’epoca di non aver trovato alcuna prova che i suoi sistemi fossero stati violati in relazione a quel dataset.
Nel caso più recente, tuttavia, Revolut ha confermato che le informazioni dei clienti sono state divulgate a una terza parte non autorizzata. L’azienda non ha identificato pubblicamente l’agenzia governativa coinvolta né fornito una cifra esatta sul numero di clienti le cui informazioni sono state rilasciate.