Revolut, dati clienti finiti a una falsa agenzia governativa

Revolut ha comunicato ad alcuni clienti di aver fornito i loro dati personali a un cybercriminale che si era finto un'agenzia governativa. Come riporta Punto Informatico, la fintech britannica non ha subito un attacco informatico in senso tradizionale: nessun server è stato violato, nessuna password rubata. È caduta invece nella trappola di un truffatore che ha inviato una richiesta di informazioni sfruttando il dominio email legittimo di un'agenzia governativa.

Il messaggio ha superato tutti i controlli di sicurezza previsti per individuare falsificazioni del mittente, phishing e spam - i protocolli SPF, DKIM e DMARC - proprio perché proveniva tecnicamente da un indirizzo autentico dell'ente. Revolut, ritenendo la richiesta genuina, ha risposto fornendo una notevole quantità di dati sui clienti coinvolti: nome, cognome, data di nascita, professione, indirizzo postale, email e numero di telefono. A questi si sono aggiunti dati finanziari sensibili come IBAN, stato del conto, data di apertura, numero di riferimento del wallet, elenco dei prelievi e cronologia completa delle transazioni, incluse quelle in Bitcoin. Sono state divulgate anche copie di documenti d'identità - passaporti e patenti - e i selfie utilizzati per il riconoscimento facciale in fase di verifica dell'account.

L'incidente è stato reso pubblico dal ricercatore di sicurezza informatica ZachXBT, noto per le sue attività di tracciamento di criptovalute rubate, che ha pubblicato la comunicazione inviata da Revolut ai clienti coinvolti. Secondo il ricercatore, l'episodio sembrerebbe aver preso di mira in particolare clienti con patrimoni elevati, e il numero di persone coinvolte apparirebbe contenuto, anche se non è stata resa nota una cifra precisa. Revolut non ha specificato quale agenzia governativa sia stata impersonata, citando le indagini di polizia in corso. Resta quindi da chiarire se qualcuno abbia violato una casella di posta governativa dall'esterno oppure se la richiesta fraudolenta sia partita da un account creato ad hoc all'interno dello stesso dominio.

La società ha dichiarato di aver bloccato l'indirizzo email utilizzato per l'inganno non appena scoperta la frode, e di aver informato l'agenzia coinvolta, le forze dell'ordine e le autorità di regolamentazione competenti, sia finanziarie che per la protezione dei dati. Revolut ha inoltre precisato che i sistemi interni e i fondi dei clienti non risultano compromessi: nessun denaro è stato spostato e non sono stati esposti codici di accesso, credenziali di login o dati biometrici di autenticazione.

L'episodio arriva in un momento delicato per la fintech londinese, che conta oltre 80 milioni di clienti in più di 30 paesi nel mondo, Italia compresa, e si prepara a una quotazione in Borsa attesa entro la fine del 2026. Proprio nei giorni scorsi Revolut aveva ottenuto dall'autorità bancaria statunitense un'approvazione condizionata per aprire una banca nazionale negli Stati Uniti, la cui apertura è prevista per la prima metà del 2027.

Il caso solleva interrogativi non tanto sulla robustezza tecnica dei sistemi informatici di Revolut, quanto sulle procedure interne di verifica delle richieste che arrivano da presunte autorità pubbliche. Il fatto che un'email tecnicamente autentica, proveniente da un dominio reale, non basti a garantire che la richiesta sia davvero autorizzata da chi dice di averla inviata, mette in luce un punto debole comune a molti servizi finanziari digitali che gestiscono grandi quantità di dati sensibili dei propri utenti.