Gli hacker che si rivendicano la recente esposizione delle informazioni dei clienti Revolut hanno intensificato l’incidente con una richiesta pubblica di riscatto di 3 milioni di dollari.
Il gruppo, che si faceva chiamare “iamnotavillain”, ha pubblicato un ultimatum chiedendo 6.000 Monero, per un valore di circa 3 milioni di dollari all’epoca. Gli aggressori hanno dato a Revolut 24 ore per pagare e hanno minacciato di vendere le informazioni dei clienti ad altri gruppi criminali se l’azienda si fosse rifiutata.
Nonostante la minaccia pubblica, Revolut afferma di non aver ricevuto una richiesta di riscatto direttamente dal gruppo e di non aver avuto contatti con chi ha fatto tali affermazioni.
Il tentativo di estorsione segue la divulgazione di un incidente di sicurezza in cui una parte non autorizzata ha ottenuto informazioni sensibili appartenenti a centinaia di clienti Revolut.
Invece di irrompere direttamente nell’infrastruttura bancaria di Revolut, gli attaccanti hanno utilizzato richieste di informazioni fraudolente che sembravano provenire da un dominio email legittimo di un’agenzia governativa. Revolut ha risposto a queste richieste e ha divulgato informazioni sui clienti prima di scoprire l’inganno.
Si stima che circa 680 clienti siano stati colpiti. Le informazioni emerse nell’incidente includevano dati di identità e di contatto. Le notifiche inviate ai clienti interessati hanno mostrato che le informazioni compromesse potevano includere date di nascita, indirizzi postali ed email, numeri di telefono e copie di documenti d’identità come passaporti e patenti di guida.
A seconda del cliente, potrebbero essere stati esposti anche selfie di verifica, estratti conto e cronologie delle transazioni. Gli aggressori affermano di aver ottenuto le informazioni dopo aver ottenuto accesso a un sistema di comunicazione del governo italiano e averlo usato per impersonare funzionari delle forze dell’ordine. Hanno anche affermato che clienti con consistenti depositi in criptovalute sono stati deliberatamente presi di mira.
Questi dettagli rimangono in parte basati sul racconto degli attaccanti sull’operazione e non sono stati tutti confermati in modo indipendente. Il gruppo ha tentato di dimostrare il possesso delle informazioni condividendo materiale che sembra contenere registrazioni dei clienti. Avrebbe inoltre fornito una breve registrazione dello schermo che mostra qualcuno che sfoglia una raccolta di documenti.
La domanda di 3 milioni di dollari viene effettuata con Monero, una criptovaluta progettata per garantire una maggiore privacy delle transazioni rispetto a molte altre valute digitali.
La natura pubblica dell’ultimatum è notevole perché i gruppi di estorsione informatica cercano spesso di negoziare privatamente con le vittime prima di pubblicare minacce o informazioni rubate. In questo caso, Revolut afferma che non è mai avvenuta alcuna negoziazione del genere.
Le autorità italiane stanno indagando su come un canale ufficiale di comunicazione governativo sarebbe stato abusato e se l’account email sottostante o i sistemi associati siano stati compromessi.