Revolut ha consegnato i dati di centinaia di clienti a criminali informatici

Revolut, la multinazionale inglese nata come startup di pagamenti digitali e arrivata in pochi anni a competere con le più grandi banche europee, è stata truffata da un gruppo di criminali informatici: è stata convinta a consegnare loro i dati dei passaporti, degli indirizzi di residenza, e soprattutto dei conti bancari e delle transazioni, di quasi 700 suoi clienti.

I criminali informatici non hanno violato direttamente i sistemi di Revolut: secondo informazioni date da loro stessi, si sarebbero serviti di almeno un indirizzo ufficiale di posta certificata delle forze dell’ordine italiane, violato in precedenza, per ottenere dalla banca tutti i dati dei clienti, spacciando la richiesta come indispensabile per una fantomatica indagine internazionale.

Revolut ha confermato al Post di avere individuato una “sofisticata truffa” e di aver immediatamente avvisato i clienti coinvolti, oltre a enti governativi, forze dell’ordine, autorità per la protezione dei dati e organismi di regolamentazione finanziaria. La società ha detto che i suoi sistemi informatici non hanno subito ripercussioni e che non sono stati sottratti soldi ai conti dei clienti.

Il sito specializzato International Cyber Digest ha scritto che la maggior parte dei dati riguarda clienti svizzeri e francesi: tra questi ci sono il calciatore franco georgiano del Barcellona Georges Mikautadze e il tennista kazako Alexandr Shevchenko. Secondo il Financial Times, tra i clienti coinvolti c’è anche Mark Karpelès, ex amministratore delegato di Mt. Gox, che fino a una decina d’anni fa era la principale piattaforma di compravendita di Bitcoin al mondo, prima di andare in bancarotta. In totale i clienti coinvolti sarebbero per la precisione 680, ma Revolut non ha confermato questo dato.

Il gruppo di criminali informatici che ha organizzato l’attacco si fa chiamare IAmNotAVillain. Gli esperti di International Cyber Digest sono entrati in contatto con alcuni membri del gruppo per farsi spiegare come hanno agito, ottenendo alcune prove che dimostrerebbero la violazione di almeno un indirizzo di posta certificata delle forze dell’ordine italiane, gestito dal ministero dell’Interno. Per ora né il ministero né l’agenzia per la cybersicurezza hanno diffuso comunicazioni su questo attacco. Fonti del ministero sentite dal Post hanno detto che la polizia postale sta facendo accertamenti.

I criminali informatici hanno detto di aver iniziato l’attacco sei mesi fa, compromettendo un account di posta certificata con il dominio @pec.interno.it, appartenente al ministero dell’Interno. Per dimostrarlo, hanno allegato alcuni screenshot con le intestazioni dei messaggi. Da questa mail avrebbero sottratto tra le altre cose 147 gigabyte di dati con documenti interni, appuntamenti e informazioni personali. Hanno detto di essersi serviti di quell’indirizzo per mandare una richiesta all’apparenza ufficiale alla sede lituana di Revolut, a cui sono state chieste informazioni sui clienti della banca per una presunta indagine della procura di Milano.

I criminali informatici hanno sfruttato l’obbligo a cui sono sottoposti gli istituti finanziari di fornire informazioni a forze dell’ordine ed enti governativi, chiamato ordine europeo di indagine, uno strumento di collaborazione tra Stati previsto da una direttiva europea del 2014. La richiesta proveniva da un dominio valido, ufficiale, e sembrava adeguatamente motivata. Nonostante la richiesta di così tanti dati, Revolut non avrebbe approfondito le motivazioni o contattato direttamente le forze dell’ordine per avere conferme, ma si sarebbe limitata a rispondere fornendo i dati chiesti.