Truffa a Revolut: PEC italiana usata per rubare dati sensibili dei clienti

Revolut ha confermato di aver divulgato informazioni sensibili dei propri clienti a un soggetto non autorizzato, dopo aver ricevuto richieste fraudolente inviate da un dominio email appartenente a una legittima agenzia governativa. L’episodio riporta al centro dell’attenzione i limiti dei sistemi pensati per verificare l’autenticità del mittente di un messaggio.

Segui TuttoTech.net su Google Discover

Pubblicità-23%

Amazon

Dell 16 Laptop, 16GB / 1TB

749€969€

Vai all'offerta

Un impersonation scam che ha superato tutti i controlli

La ricostruzione fornita dall’azienda parla di un impersonation scam sofisticato: un terzo non autorizzato ha sfruttato il dominio email ufficiale di un ente governativo per inoltrare richieste di informazioni fraudolente. La comunicazione ha superato indenne i principali meccanismi di verifica dell’identità del mittente, SPF, DKIM e DMARC, quelli che normalmente servono a intercettare spoofing, phishing e messaggi indesiderati. Per i sistemi di Revolut quella richiesta appariva legittima.

Secondo le indiscrezioni, la mail sarebbe arrivata tramite una PEC italiana, elemento che ha contribuito a farla sembrare autentica e che apre più di un interrogativo sull’effettiva affidabilità dei controlli usati in Italia per validare l’identità di chi scrive. Un dettaglio non banale, perché sposta l’attenzione dal semplice errore umano alla tenuta delle infrastrutture di certificazione.

Revolut ha spiegato di aver bloccato l’indirizzo email non appena individuata la truffa e di aver allertato l’agenzia governativa coinvolta, le forze dell’ordine e le autorità di regolamentazione competenti. L’azienda non ha voluto precisare quale ente fosse, né se l’episodio riguardasse un mercato specifico. Il portavoce ha comunque chiarito che l’impatto ha riguardato un numero “limitato” di clienti, contattati direttamente, senza però fornire cifre.

“Revolut recently identified a sophisticated external impersonation scam where an unauthorised third party utilised a legitimate government agency domain email to submit fraudulent requests for information”.

Dalla fintech fanno sapere anche che sistemi e fondi dei clienti non sono stati coinvolti, un aspetto che riguarda la sicurezza patrimoniale ma non cancella il problema della circolazione dei dati personali.

Cosa è finito nelle mani dei criminali

L’elenco dei dati esposti è ampio: parliamo di nome, cognome, data di nascita, occupazione, indirizzo postale, indirizzo email e numero di telefono. A questi si aggiungono informazioni di natura finanziaria come IBAN, stato dell’account, data di apertura, numero di riferimento del wallet, elenco dei prelievi e cronologia delle transazioni, comprese quelle in Bitcoin. Secondo la notifica inviata ai clienti interessati, i dati potrebbero aver incluso anche copie dei documenti d’identità, come passaporto e patente, i selfie di verifica, gli estratti conto e le cronologie dei movimenti.

L’azienda ha però precisato che i dati biometrici di telemetria facciale non sono stati coinvolti. Il file finito nelle mani dei criminali peserebbe circa 60 MB e riguarderebbe soprattutto clienti di alto profilo: tra i nomi che circolano ci sarebbe anche quello di Mark Karpelés, ex amministratore della piattaforma Mt. Gox. La notizia della mail inviata ai clienti è stata diffusa venerdì sera da un ricercatore di sicurezza crypto, secondo cui il colpo sarebbe stato mirato proprio a utenti con patrimoni rilevanti.

Dopo il furto, i presunti responsabili avrebbero avviato un tentativo di estorsione, iniziando a pubblicare alcuni dossier su Telegram. Tre anni fa alcune organizzazioni criminali avevano già sfruttato una falla nei sistemi di pagamento della fintech per sottrarre oltre 20 milioni di dollari, approfittando delle discrepanze tra i sistemi americani ed europei che causavano il rifiuto di alcune transazioni e il conseguente rimborso erroneo. L’episodio attuale si inserisce quindi in una storia di precedenti non isolati.

Il contesto in cui arriva la vicenda non è dei più tranquilli. La società con sede a Londra conta oltre 80 milioni di clienti nel mondo e opera come banca in più di 30 Paesi, con un’espansione recente in India, Messico, Francia ed Emirati Arabi Uniti. Pochi giorni fa l’Office of the Comptroller of the Currency statunitense ha concesso a Revolut l’approvazione condizionata per costituire una banca nazionale, attesa nella prima metà del 2027. Nel frattempo l’azienda valuta una possibile quotazione in Borsa che potrebbe arrivare a una valutazione di 200 miliardi di dollari, in crescita rispetto ai 75 miliardi toccati a novembre.

Come difendersi dalle truffe mirate

Gli esperti di sicurezza invitano a non abbassare la guardia. Jamie Akhtar, CEO di CyberSmart, ha spiegato che, pur non essendo stati compromessi i fondi, le informazioni esposte possono essere sfruttate per furti d’identità e attacchi di phishing altamente mirati: il criminale dispone già di elementi veri e credibili, e li usa per costruire un messaggio che suona autentico.

Se avete un conto Revolut, la prima regola è diffidare di qualsiasi chiamata, email o messaggio inatteso che dichiari di provenire dalla fintech, da un ente governativo o da un’altra organizzazione considerata affidabile. Nessuno vi chiederà legittimamente password o codici di sicurezza: non condivideteli mai, nemmeno se il tono della conversazione sembra urgente o allarmante. Un contatto sospetto va segnalato, non assecondato.

Quando dovete verificare qualcosa che riguarda il vostro conto, usate esclusivamente l’app ufficiale o il sito verificato di Revolut, evitando link ricevuti via mail o SMS e numeri di telefono che non avete voi stessi recuperato da canali ufficiali. Una richiesta di dati personali, documenti o informazioni finanziarie in arrivo tramite posta elettronica non è mai un buon segnale, indipendentemente dal dominio del mittente: la vicenda di Revolut dimostra che anche un indirizzo apparentemente istituzionale può nascondere una truffa.