La violazione dei dati di Revolut si è trasformata da una semplice divulgazione in quella che gli aggressori presentano come una campagna estorsiva in corso. Gli attori che hanno ottenuto dati sensibili dei clienti avrebbero iniziato a pubblicare online documenti di identità rubati e selfie, minacciando di rilasciarne altri ogni giorno finché la fintech non pagherà, come riportato da Cointelegraph. “Inizieremo a rilasciare sempre più dati ogni giorno finché revolut non pagherà per aver divulgato i dati dei suoi clienti”, hanno scritto gli aggressori su Telegram, secondo quanto riportato.
L’autenticità del materiale divulgato, l’identità degli aggressori e qualsiasi cifra relativa al riscatto restano affermazioni non verificate degli attori della minaccia, che né Revolut né le forze dell’ordine hanno confermato. Revolut non ha detto se pagherà, e non ha ancora comunicato quante persone siano state coinvolte.
Questa escalation è ciò che rende questo il secondo, più ampio, capitolo della vicenda. La violazione non è mai stata un attacco ai sistemi interni di Revolut; si è trattato di una richiesta fraudolenta di informazioni sui clienti inviata da un indirizzo email appartenente al dominio di un’autentica agenzia governativa. Ogni broker regolamentato, società di pagamenti ed exchange risponde a questo stesso tipo di richieste da parte di autorità governative e forze dell’ordine, e la maggior parte lo fa senza un passaggio di verifica fuori banda per confermare che il mittente sia realmente chi il dominio dichiara che sia. L’incidente Revolut è l’ultimo esempio di un tipo di attacco che il settore della sicurezza documenta da anni, ora in escalation pubblica.
Cosa è Cambiato Oggi: Da Violazione a Estorsione Attiva
La divulgazione fatta da Revolut il 12 settembre si è trasformata in una situazione di riscatto. Un account di cyber-intelligence, International Cyber Digest, ha riportato su X che gli aggressori avevano iniziato a pubblicare dati dei clienti e minacciavano di rilasciare “altri messaggi, dati e informazioni su come opera il team di Revolut”, accusando l’azienda di negligenza e di aver inviato dati fuori dalla propria giurisdizione, affermazioni che restano proprie degli attori della minaccia e che né Revolut né le forze dell’ordine hanno confermato.
‼️ BREAKING: The threat actors who targeted Revolut with information-demand emails are now posting sensitive customer data, including that of high-profile clients such as tennis player Shevchenko and Römer, CEO of Gamdom/Skinscom. They want Revolut to pay up. They say they’ll… pic.twitter.com/obuVOOABx7
— International Cyber Digest (@IntCyberDigest) September 13, 2026
Alcuni clienti coinvolti si sono identificati pubblicamente, tra cui l’ex amministratore delegato di Mt. Gox, Mark Karpelès, che la settimana scorsa ha dichiarato di essere tra i soggetti notificati. I dati esposti sono ciò che rende la minaccia seria. Revolut ha confermato a TechCrunch che le informazioni potrebbero includere nomi completi, date di nascita, professioni, indirizzi postali ed email, numeri di telefono, copie di passaporti e patenti di guida, e selfie di verifica, oltre a estratti conto, IBAN e cronologie complete delle transazioni, inclusi i registri dell’attività in Bitcoin. Le password possono essere reimpostate e gli account resi sicuri, ma la scansione di un passaporto, un’immagine di verifica facciale e una cronologia che collega un’identità reale a transazioni in criptovalute non possono essere modificati a posteriori, ed è proprio per questo che il materiale ha valore estorsivo. Revolut ha dichiarato che i suoi sistemi e i fondi dei clienti non sono stati compromessi e che un numero “limitato” di clienti è stato colpito, una cifra che ha finora rifiutato di specificare, anche mentre le divulgazioni proseguono.
Cosa Devono Sapere gli Investitori
Questo è ormai un evento estorsivo, non una divulgazione contenuta: con gli aggressori che pubblicano dati su base giornaliera, l’esposizione cresce finché non si fermano, il che mette pressione su Revolut affinché risponda pubblicamente invece di gestire la vicenda in modo discreto.
Il Vettore: Un Dominio Governativo Reale, una Richiesta Falsa
Il meccanismo è la parte che ogni azienda regolamentata dovrebbe studiare. L’aggressore non ha violato il database di Revolut; ha inviato via email una richiesta di dati sui clienti da un indirizzo appartenente al dominio di un’agenzia governativa legittima, e la corrispondenza ha superato i controlli interni perché proveniva attraverso l’infrastruttura reale dell’agenzia. Revolut ha successivamente stabilito che il mittente non era autorizzato, ha bloccato l’indirizzo e ha informato l’agenzia, le forze dell’ordine, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria. Non ha reso noto il nome dell’agenzia né come sia stato utilizzato l’account, il che lascia aperta la domanda se lo stesso mittente abbia contattato anche altre istituzioni. Si tratta di una tecnica nota, con un nome preciso: la richiesta fraudolenta di dati d’emergenza, o fake EDR. Sfrutta il fatto che l’autenticazione del dominio di una richiesta non dice nulla su chi stia effettivamente digitando, lo stesso principio alla base delle truffe di impersonificazione sempre più utilizzate da attori legati a Stati nazionali per infiltrarsi nelle aziende occidentali.
Perché Questo È un Problema di Settore, non un Problema di Revolut
Il vettore del fake EDR ha una storia documentata sulle più grandi piattaforme tecnologiche. Nel 2021, aggressori affiliati ai gruppi Recursion Team e Lapsus$, diversi dei quali adolescenti, hanno utilizzato richieste d’emergenza contraffatte, inviate da account governativi e delle forze di polizia compromessi, per sottrarre dati degli utenti ad Apple, Meta e Discord, come documentato da Brian Krebs e Bloomberg. L’FBI ha emesso un proprio avviso nel novembre 2024, segnalando un’impennata di email della polizia compromesse e richieste di dati fraudolente inviate ad aziende statunitensi. Nessuna delle società colte alla sprovvista era inesperta nella gestione delle richieste delle forze dell’ordine; tutte disponevano di procedure, e le richieste hanno comunque funzionato. Il canale d’emergenza è progettato per la velocità, una dichiarazione di minaccia imminente, spesso senza un’ordinanza del tribunale, una risposta attesa nel giro di poche ore, e ogni ottimizzazione della velocità rappresenta una lacuna nella verifica. Negli Stati Uniti esistono circa 18.000 giurisdizioni delle forze dell’ordine, ciascuna con un proprio insieme di account email, e un solo account compromesso ovunque è sufficiente. Poiché ogni azienda verifica in modo isolato, lo stesso richiedente fraudolento può contattare cinquanta aziende, e ciascuna vede un primo contatto senza alcuna storia precedente. Un fake EDR deve funzionare solo una volta; la verifica deve funzionare ogni volta. Questa asimmetria è il motivo per cui l’incidente rappresenta un avvertimento per ogni broker regolamentato, PSP ed exchange, e arriva proprio mentre Revolut si espande nel settore bancario statunitense e nelle stablecoin dopo aver ottenuto l’approvazione preliminare per una banca nazionale, un’attività costruita proprio sulla detenzione di questo tipo di dati identificativi e transazionali.
Cosa Devono Sapere gli Investitori
Le misure di mitigazione concrete esistono già oggi: verifica tramite richiamata fuori banda a un numero pubblicato dell’agenzia, registrazione e controllo incrociato di ogni richiesta, e condivisione di informazioni tra aziende sono già in uso.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
