Revolut, dati dei clienti agli hacker via Pec: come è avvenuta la truffa e come difendersi

Quasi settecento correntisti esposti senza che nessuno abbia forzato una serratura. È ciò che è accaduto al colosso britannico Revolut, partito come giovane azienda di pagamenti digitali e cresciuto fino a insidiare i grandi istituti di credito del continente. Passaporti, indirizzi di casa, estremi dei conti e cronologia delle operazioni sono finiti nelle mani di un gruppo di criminali informatici. Il punto è che Revolut non ha subito un'intrusione nei propri server.

Infatti, stando a quanto raccontato dagli stessi autori del colpo, il grimaldello sarebbe stato una casella di posta elettronica certificata appartenente alle forze dell'ordine italiane, compromessa in un momento precedente e poi riutilizzata come lasciapassare. Da quell’indirizzo è partita una richiesta formale di consegna dei dati, motivata con l'urgenza di un'inchiesta (che in realtà non esisteva), richiesta che ha superato i controlli di autenticazione e inizialmente non ha destato sospetti. In seguito lo scambio di e-mail è andato avanti finché la società non ha contattato direttamente l'istituzione italiana che ha smentito di aver mai inviato quei messaggi.

Cosa è successo a Revolut

La società, il più grande gruppo fintech europeo, con oltre 80 milioni di utenti, di cui circa 5 milioni italiani, ha rilasciato una dichiarazione in cui ha spiegato di aver “individuato una sofisticata truffa di impersonificazione esterna, in cui un soggetto terzo non autorizzato ha utilizzato un'e-mail con dominio legittimo di un'agenzia governativa per inviare richieste fraudolente di informazioni. Al momento del rilevamento abbiamo immediatamente bloccato l'indirizzo e avvisato l'agenzia governativa interessata, le forze dell'ordine, le autorità per la protezione dei dati e i regolatori finanziari. I sistemi Revolut e i fondi dei clienti non sono stati toccati”.

non perderti questo articolo

La truffa dell’account verificato su WhatsApp che ruba i dati di Facebook: come riconoscerla e difendersi

Le persone coinvolte sarebbero, per l'azienda, in numero molto limitato, con il Financial Times che parla di circa 680 clienti contattati, cifra che Revolut non ha voluto confermare. Sull'episodio lavorano ora la Polizia Postale italiana, per accesso abusivo e frode informatica, e l'Information Commissioner's Office britannico, che ha aperto un'indagine il 15 settembre dopo la segnalazione spontanea della società.

Com'è stata costruita la truffa

Il data breach sarebbe stato rivendicato dal gruppo hacker IAmNotAVillain e per comprendere come l’inganno sia riuscito a sembrare credibile bisogna partire da quando tutto è cominciato, ovvero sei mesi fa. I criminali informatici hanno detto che tutto è partito dalla violazione di una casella PEC del ministero dell’interno, documentata con screenshot delle intestazioni dei messaggi. Da lì sarebbero stati sottratti 147 gigabyte di documenti, agende e dati personali. Quell'indirizzo è poi servito a inviare alla sede lituana di Revolut una richiesta di informazioni sui clienti, motivata con un'indagine attribuita alla procura di Milano.

La porta d'ingresso sarebbe stata un infostealer, un malware progettato per raccogliere ed esfiltrate informazioni sensibili dai dispositivi compromessi. L’hacker si è poi impossessato delle credenziali per accedere all’account di posta di un dipendente governativo per poi creare un falso Ordine Europeo di Indagine con cui pretendere da Revolut la consegna delle informazioni. La tecnica rientra nella categoria del Man in the Mail, un meccanismo attraverso cui un criminale si inserisce all'interno di una casella di posta già attiva e, da quella postazione, porta avanti la corrispondenza fingendosi il legittimo proprietario.

Come difendersi

Nel giro di pochi anni gli infostealer sono diventati un'arma di punta nell'arsenale del cybercrimine.L’Agenzia per la Cybersicurezza Nazionale, nel suo report, individua alcune contromisure concrete per rafforzare le difese contro una minaccia che cambia pelle di continuo.

Un primo accorgimento è l'autenticazione a più fattori (MFA), da attivare su ogni account. Vale poi la regola di non aprire link né allegati contenuti in messaggi inattesi o fuori dall’ordinario, in caso di dubbio, la strada giusta è controllare la fondatezza della comunicazione sui canali ufficiali dell'organizzazione o rivolgersi direttamente ai suoi recapiti istituzionali. Sistemi e dispositivi vanno tenuti sempre allineati con le ultime versioni disponibili, installando le patch e gli aggiornamenti di sicurezza appena vengono rilasciati.

È inoltre consigliabile disattivare il salvataggio automatico delle password nei browser, affidandosi piuttosto a un gestore dedicato, con database cifrato e realizzato da un produttore di comprovata affidabilità. Per le aziende resta fondamentale organizzare a cadenza regolare formazione e sensibilizzazione del personale sui rischi informatici e sulle buone pratiche da adottare.

Nelle prossime settimane è prudente guardare con sospetto a qualsiasi contatto inatteso, ogni messaggio va verificato accedendo all'app ufficiale o chiamando i numeri pubblicati sui canali istituzionali, mai quelli indicati nella comunicazione ricevuta. Conviene inoltre monitorare con attenzione i movimenti del proprio conto, attivare l'autenticazione a due fattori su tutti i servizi finanziari e sostituire le password che risultano riutilizzate su più piattaforme.