Caso Revolut, cosa rischiano i clienti ora che gli hacker hanno chiesto un riscatto da 3 milioni di dollari

La vicenda Revolut entra nella sua fase più delicata. Il gruppo di criminali informatici che si fa chiamare IAmNotAVillain ha chiesto alla fintech britannica un riscatto di 3 milioni di dollari in criptovalute, circa 2,6 milioni di euro, minacciando di vendere i dati sottratti se il pagamento non arriverà entro 24 ore. La richiesta è stata accompagnata da un conto alla rovescia pubblicato online. Il gruppo sostiene di avere ottenuto informazioni relative ad almeno 680 clienti di 33 Paesi, tra documenti d'identità, fotografie utilizzate per la verifica dell'identità e dati sulle transazioni. Su Fanpage.it abbiamo già raccontato come i cybercriminali si siano introdotti nella PEC della Prefettura di Reggio Calabria per farsi consegnare dalla banca online i dati appartenenti a un ristretto gruppo di clienti facoltosi.

Mentre la Procura di Reggio Calabria ha aperto un fascicolo per indagare sulla vicenda, i clienti di Revolut continuano però a chiedersi se i loro conti siano al sicuro – la banca ha assicurato di sì – e, soprattutto, cosa debbano aspettarsi qualora si decida di non assecondare il ricatto dei cyber criminali. Ne abbiamo parlato con Paolo Dal Checco, perito informatico forense che sta seguendo da vicino la vicenda.

"Chi teme che i propri dati siano finiti in rete ha un dubbio comprensibile e anche chi non ha ricevuto la notifica da Revolut potrebbe essere a rischio visto che il gruppo hacker è rimasto nascosto nella PEC italiana per mesi e potrebbe aver ricevuto informazioni sensibili anche da altre aziende e organizzazioni", spiega l'esperto. "Quello che è trapelato potrebbe essere solo una parte del materiale acquisito dai criminali".

Mancato riscatto di Revolut: i possibili scenari per i clienti

I criminali hanno imposto un ultimatum che termina alle 18.30 di oggi 17 settembre. Se allo scadere del termine Revolut non dovesse pagare la somma richiesta, per Dal Checco gli scenari più plausibili sono due.

"Il gruppo potrebbe optare per una diffusione pubblica gratuita. Si crea un sito, poi si pubblica di un link diretto da cui chiunque può scaricare l'intero archivio di informazioni sottratte". L'opzione più remunerativa è però la seconda: "I dati potrebbero essere messi in vendita a pacchetti – ad esempio 1.000 euro per un lotto di 50 o 100 nominativi – oppure con formule su richiesta. Vendere documenti, account crypto e indirizzi a blocchi permetterebbe ai criminali di monetizzare l'attacco nel tempo anziché limitarsi a un semplice gesto dimostrativo".

Il problema, sottolinea lo stesso perito informatico, è che vi è alcuna garanzia che, anche dopo aver pagato il riscatto, i dati non vengano comunque distribuiti o rivenduti. Paradossalmente, l'unica speranza di affidabilità è riposta nella caratura criminale del gruppo: "Le organizzazioni criminali affermate evitano di minare la propria reputazione: se si diffondesse la voce che i dati vengono pubblicati anche dopo il pagamento, nessuno pagherebbe più".

Cosa può fare un cliente Revolut per ridurre i rischi

In attesa di capire che fine faranno i dati che la fintech ha consegnato ai malviventi, resta da capire se i clienti che hanno ricevuto la lettera da Revolut (o semplicemente temono per la sicurezza dei propri dati personali) possano fare qualcosa per limitare i danni.

"L'unica azione efficace è cambiare o rinnovare i documenti esfiltrati", afferma Dal Checco. "Revolut ha confermato la compromissione di carte d'identità e fotografie. Sulla fotografia non si può agire, ma la carta d'identità va rifatta sporgendo prima denuncia di smarrimento o furto". Quei documenti potrebbero infatti essere usati da terzi per richiedere finanziamenti, registrare domini web o caselle PEC per truffe, oppure attivare un'identità SPID fraudolenta. Disattivare il vecchio documento con una denuncia resta quindi il modo migliore per tutelarsi dagli scenari peggiori.