Revolut ha trasmesso dati sensibili di clienti a un pirata informatico

Revolut ha consegnato informazioni sensibili relative ai propri clienti a un pirata informatico, a causa di un'operazione di usurpazione del dominio di messaggistica di un'agenzia governativa.

L'incidente è avvenuto perché l'attaccante ha inviato richieste di informazioni che sembravano provenire da un'amministrazione governativa. Poiché i messaggi utilizzavano il dominio di posta elettronica reale, sono riusciti a superare i controlli di autenticazione, inclusi i protocolli DKIM. Il personale di Revolut ha elaborato tali richieste ritenendole legittime e legali.

Un portavoce di Revolut ha descritto l'evento come una sofisticata truffa di usurpazione d'identità esterna, in cui un terzo non autorizzato ha usato l'indirizzo e-mail di un dominio legittimo di un'agenzia governativa per presentare richieste fraudolente. Non si è trattato di un'intrusione nei sistemi informatici, ma di un errore di valutazione nella gestione delle richieste.

Le informazioni trasmesse includono nomi, date di nascita, indirizzi postali, indirizzi e-mail e numeri di telefono dei clienti coinvolti. Sono state consegnate anche copie di documenti d'identità, passaporti o patenti di guida. In alcuni casi, potrebbero essere stati trasmessi selfie di verifica, estratti conto e cronologie delle transazioni.

Ulteriori dati condivisi comprendono la professione, l'IBAN, lo stato del conto, la data di apertura e i riferimenti ai portafogli Bitcoin, insieme alla cronologia completa. L'azienda ha trasmesso quasi tutti i dati in suo possesso, ad eccezione di quelli biometrici.

Revolut ha dichiarato che l'incidente ha riguardato un numero limitato di clienti, i quali sono stati contattati direttamente. L'azienda non ha specificato il numero esatto di persone colpite, né ha indicato l'amministrazione governativa coinvolta o se l'evento sia limitato a un singolo paese. Un'indagine è in corso per determinare come il pirata abbia ottenuto l'accesso al dominio di messaggistica.