Cosa rischiano i clienti Revolut dopo l’attacco hacker

Il caso Revolut continua a infittirsi. La fintech britannica ha ammesso di aver consegnato informazioni riservate a un gruppo di cybercriminali che si sono spacciati per funzionari pubblici grazie all'utilizzo di una PEC italiana. Secondo quanto riportato da fonti giornalistiche, la clamorosa falla di sicurezza avrebbe coinvolto un ristretto gruppo di clienti facoltosi (680 secondo quanto riporta il Financial Times) ma ora molti utenti si domandano se il data breach possa comportare conseguenze anche per altri clienti della banca online. Proviamo dunque a fare un po' di chiarezza.

Furto di dati a Revolut: cosa è successo

Secondo le ricostruzioni disponibili, l'attacco sarebbe stato possibile grazie all'utilizzo fraudolento di una vera PEC istituzionale italiana. Ieri abbiamo spiegato in questo articolo le modalità più plausibili dell'intrusione. Nelle ultime ore il team investigativo Duel ha reso noto che gli hacker avrebbero utilizzato un indirizzo riconducibile alla Prefettura di Reggio Calabria per presentarsi come appartenenti alla Polizia Postale e trasmettere a Revolut un falso "Ordine Europeo di Indagine", chiedendo informazioni su un gruppo ristretto di clienti. I ricercatori hanno anche mostrato in un post su X l'indirizzo incriminato: entilocali.prefrc@pec.interno.it. Revolut, ritenendo il richiedente un ente affidabile, ha quindi proceduto a inviare tutte le informazioni richieste.

L'attacco è stato rivendicato dal gruppo IAmNotAVillain, il quale è ora in possesso di un prezioso bottino d'informazioni personali: indirizzi di residenza, fotografie utilizzate per la verifica dell'identità, documenti personali, numeri di conto e informazioni sulle transazioni in bitcoin.

Cosa rischiano i clienti Revolut dopo il data breach

I dati trafugati riguardavano poche centinaia di clienti abbienti. Tra le persone contattate dalla fintech figurano, secondo le informazioni disponibili, sportivi, imprenditori e dirigenti, tra cui il tennista Alexander Shevchenko, il CEO di Gamdom Felix Römer e l'ex responsabile di Mt. Gox Mark Karpelés. Revolut ha comunque assicurato che password e credenziali di accesso ai conti non sono state interessati dalla violazione.

Al momento non c'è dunque pericolo che qualcuno possa introdursi negli account bancari e prosciugare i fondi degli utenti. Questo però non significa che il furto non possa avere conseguenze. Poiché i criminali sono riusciti a mettere le mani su un'enorme quantità di dati personali, ora c'è la possibilità che simili informazioni possano essere utilizzae  per furti d'identità e nuove campagne di phishing mirate.

Documenti e dati anagrafici possono infatti servire per aprire conti, stipulare nuovi contratti o contrarre finanziamenti a nome della vittima. Le informazioni finanziarie, invece, riescono q rendere molto più credibili email, SMS e telefonate fraudolente. Un truffatore che conosce già un nome, un indirizzo, la banca utilizzata o i dettagli di una transazione può infatti fingersi un operatore Revolut e chiedere alla vittima di confermare un'operazione, comunicare un codice oppure autorizzare un bonifico.

Per gli altri clienti di Revolut, non coinvolti nella violazione, al momento non sembrano sussistere motivi di allarme, se non la legittima preoccupazione per il modo in cui la banca gestisce e protegge i dati personali dei propri clienti.

Il commento di Federprivacy: un caso che pone questioni di fiducia

Secondo Nicola Bernardi, presidente di Federprivacy, episodi di questo tipo pongono infatti un problema che va oltre la singola violazione. "Il fatto che istituti finanziari e banche cadano facilmente in tranelli di questo genere è particolarmente grave, non solo perché l'azienda denota carenza di competenze tra i propri addetti e vulnerabilità sotto il profilo della sicurezza dei dati personali, esponendosi a data breach e sanzioni da parte delle autorità per violazioni del GDPR, ma ancora di più perché questi colpi messi a segno da hacker ed altri truffatori vanno a incidere direttamente sulla reputazione dell’istituto, ledendo la fiducia su cui si basa il rapporto tra banca e cliente", ha dichiarato a Fanpage.it.

"Se è vero infatti che nessuno affiderebbe i propri risparmi a una banca che si fa rubare i soldi, non è certamente un buon indice di affidabilità che questa si faccia trafugare così ingenuamente i dati dei propri clienti", prosegue Bernardi, che poi si sofferma sulle conseguenze potenzialmente devastanti che simili inadempienze potrebbero portare a qualsiasi istituto di credito:

"Si possono innescare fughe in massa di clienti che decidono di rivolgersi a un altro istituto di cui si fidano di più. Peggio ancora potrebbe andare a società finanziarie quotate in borsa con crolli delle proprie quotazioni, come accadde nel 2019 alla holding bancaria Capital One, che nelle due settimane successive all'annuncio della sottrazione di migliaia di account previdenziali e bancari arrivò a perdere il 15% del valore dei propri titoli. Spesso sottovalutiamo il valore delle informazioni personali, ma quando ad essere vittima di un furto simile è una banca, comprendiamo quindi bene perché i dati personali sono stati definiti il petrolio del terzo millennio. Perdere dati spesso significa perdere soldi".

Come difendersi dalle truffe dopo il furto dati

In casi simili, la principale contromisura consiste nel non fidarsi mai di una comunicazione soltanto perché alcune informazioni personali vengono riportate in modo corretto. Password, codici di accesso e codici di autorizzazione non devono mai essere comunicati a chi li richiede, nemmeno a un interlocutore che sembri conoscere molti dettagli del cliente.

È inoltre opportuno controllare con attenzione movimenti e notifiche del conto e segnalare immediatamente eventuali anomalie attraverso l'app ufficiale Revolut. Nel caso di comunicazioni ricevute via PEC o email, l'indirizzo del mittente va verificato con particolare attenzione. La vicenda sembra infatti dimostrare che anche un'identità digitale verificata e riconducibile a un'istituzione può essere utilizzata all'interno di una frode. E su questo spetterà alle autorità fornire risposte adeguate per ripristinare la piena fiducia in quei canali di comunicazione che fino a qualche giorno fa eravamo abituati a considerare perfettamente sicuri.