L’esposizione dati di Revolut era limitata ai clienti facoltosi?
La divulgazione da parte di Revolut di informazioni sensibili sui clienti a un soggetto terzo non autorizzato potrebbe non essere stata limitata agli utenti con un patrimonio elevato, secondo nuove segnalazioni della community che complicano una prima ipotesi su come fossero stati selezionati i clienti coinvolti.
La fintech britannica ha confermato il 12 settembre che le informazioni dei clienti sono state divulgate dopo aver ricevuto richieste fraudolente inviate da un account email operante all’interno del dominio di un’agenzia governativa legittima.
Revolut ha dichiarato che la corrispondenza appariva autentica perché proveniva dalla vera infrastruttura di dominio dell’agenzia. L’azienda ha successivamente stabilito che il mittente non era autorizzato, ha bloccato l’indirizzo e ha informato l’agenzia governativa, le forze dell’ordine, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria.
Revolut ha affermato che i propri sistemi non sono stati compromessi e che i fondi dei clienti non sono stati interessati. L’azienda non ha reso noto il numero di clienti coinvolti né ha identificato l’agenzia governativa il cui dominio è stato utilizzato.
Le notifiche ai clienti che circolano pubblicamente indicano che le informazioni potenzialmente divulgate includevano nomi, date di nascita, professioni, indirizzi di residenza, indirizzi email, numeri di telefono, copie di passaporti o patenti di guida e foto di verifica facciale.
I dati finanziari potrebbero inoltre aver incluso IBAN, dettagli sull’apertura del conto, prelievi, riferimenti ai wallet e cronologie delle transazioni, incluse attività in Bitcoin. Revolut ha precisato che la telemetria biometrica facciale non è stata coinvolta.
L’investigatore on-chain ZachXBT aveva inizialmente affermato che l’incidente sembrava relativamente limitato e riguardare clienti con patrimoni elevati. Revolut non ha confermato tale valutazione.
Le successive segnalazioni della community suggeriscono che il patrimonio potrebbe non essere stato l’unico fattore. Un utente, commentando una discussione del 12 settembre, ha affermato che il conto coinvolto conteneva solo 4 euro ed era stato precedentemente utilizzato per piccoli pagamenti in criptovalute. Un altro utente ha dichiarato che quattro persone in Europa dell’Est avevano ricevuto notifiche nonostante non fossero considerate persone con un patrimonio elevato.
Queste affermazioni restano segnalazioni non verificate della community e non permettono di stabilire il profilo del gruppo più ampio di persone coinvolte. Tuttavia, indeboliscono l’ipotesi che le vittime siano state selezionate principalmente in base a saldi di conto elevati.
Perché i dati sulle transazioni in criptovalute sono così rilevanti?
Le informazioni esposte sono particolarmente sensibili perché potrebbero collegare identità personali verificate ad attività in criptovalute.
Un indirizzo di residenza o un documento d’identità costituiscono già una categoria di rischio per la privacy. Collegare questi dettagli a transazioni in Bitcoin, cronologia del conto e riferimenti ai wallet fornisce potenzialmente a un malintenzionato un quadro molto più chiaro del comportamento finanziario di un cliente.
Le piattaforme finanziarie centralizzate combinano sempre più spesso servizi bancari, pagamenti, investimenti e asset digitali all’interno di un’unica relazione con il cliente. Ciò significa che i sistemi di compliance possono conservare documenti d’identità insieme a dati dettagliati sulle transazioni, sia nella finanza tradizionale che nel mondo crypto.
Per gli utenti crypto, queste informazioni possono rimanere sensibili a lungo dopo che un incidente di sicurezza immediato è stato risolto. Le password possono essere reimpostate e i conti compromessi possono essere messi in sicurezza. I dati storici che collegano un’identità reale ad attività finanziarie passate, invece, non possono semplicemente essere modificati.
Cosa devono considerare gli investitori
Il problema immediato non riguarda perdite di fondi dei clienti, che secondo Revolut non si sono verificate. La preoccupazione più rilevante è se i controlli sulle richieste di informazioni governative fossero sufficientemente solidi da impedire a un mittente non autorizzato di ottenere dati identificativi e transazionali estremamente sensibili.
La casella di posta governativa potrebbe aver preso di mira anche altre società finanziarie?
La domanda senza risposta più rilevante potrebbe riguardare qualcosa che va oltre Revolut stessa: se lo stesso account con dominio governativo sia stato utilizzato per contattare altre banche, exchange o società di pagamento.
Le istituzioni finanziarie ricevono regolarmente richieste legittime di informazioni sui clienti nell’ambito di indagini penali, applicazione di sanzioni, casi di frode e altri processi regolamentari. Questi canali sono necessari, ma offrono anche un accesso privilegiato ad alcuni dei dati più sensibili detenuti dalle piattaforme regolamentate.
L’incidente Revolut suggerisce che l’autore dell’attacco non abbia avuto bisogno di penetrare direttamente nel database clienti dell’azienda. La richiesta fraudolenta sembra invece aver sfruttato la fiducia riposta in un canale di comunicazione governativo esterno.
Ciò crea un diverso tipo di problema di controllo. Autenticare l’identità e l’autorità del richiedente diventa altrettanto importante quanto proteggere il database dei clienti stesso.
Se la casella di posta compromessa ha contattato solo Revolut, l’evento potrebbe rimanere relativamente contenuto. Se lo stesso mittente ha presentato richieste a più istituzioni, la portata potenziale sarebbe notevolmente più ampia.
Attualmente non esistono prove pubbliche che altre società siano state contattate. La mancanza di trasparenza riguardo all’agenzia governativa rende tuttavia più difficili i controlli indipendenti, poiché altre società finanziarie non possono facilmente confrontare le proprie cronologie di richieste legali con il mittente compromesso.
Cosa deve ancora spiegare Revolut?
Tre domande restano centrali: quanti clienti sono stati coinvolti, perché sono stati selezionati proprio quei clienti e quale account con dominio governativo abbia presentato le richieste.
Le nuove segnalazioni provenienti da titolari di conti più piccoli rendono la seconda domanda ancora più rilevante. Se il patrimonio del conto non è stato il fattore principale, gli investigatori dovranno determinare se la posizione geografica, l’attività in criptovalute, i modelli di transazione o le informazioni già in possesso del richiedente abbiano giocato un ruolo.
Nessuna di queste spiegazioni è stata finora confermata pubblicamente.
L’incidente è rilevante anche per il più ampio profilo di governance di Revolut, mentre l’azienda continua a espandersi nei settori bancario, dei pagamenti, degli investimenti e delle criptovalute, in vista di una possibile quotazione in borsa e con l’obiettivo di raggiungere una valutazione che potrebbe arrivare a 200 miliardi di dollari.
Per gli investitori, l’impatto finanziario immediato appare limitato, poiché Revolut afferma che i fondi non sono stati interessati. La questione più rilevante è se un’azienda costruita attorno all’identità digitale e alla compliance automatizzata sia in grado di gestire in modo sicuro i canali esterni attraverso cui governi e forze dell’ordine richiedono informazioni sensibili sui clienti.
Fino a quando Revolut non fornirà maggiori dettagli, l’incidente non può essere considerato semplicemente una fuga di dati che ha coinvolto utenti crypto facoltosi. Le prove disponibili indicano invece un fallimento riguardante un canale di comunicazione fidato tra governo e istituzione finanziaria, la cui portata reale resta ancora ignota.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
