Revolut ingannata da una falsa richiesta governativa: esposti documenti e movimenti Bitcoin di alcuni clienti

Revolut ha confermato che dati sensibili di alcuni clienti, inclusa la cronologia completa delle loro transazioni in Bitcoin, sono stati consegnati a un soggetto non autorizzato dopo che la fintech aveva risposto a quella che sembrava una legittima richiesta di un'agenzia governativa. Il punto chiave, quello che rende questo caso diverso da un normale attacco informatico, è che i sistemi tecnici di Revolut non sono stati violati: nessun server è stato hackerato, nessuna password rubata. I dati Bitcoin esposti da Revolut sono usciti, semplicemente, dalla porta principale, consegnati da personale convinto di rispondere a una richiesta legale autentica.

È un tipo di incidente che merita di essere capito bene, perché il problema non riguardava la sicurezza dei sistemi informatici o dei fondi custoditi, entrambi rimasti intatti. Riguardava qualcosa di più sottile e per certi versi più inquietante: capire se chi chiedeva quei dati fosse davvero chi diceva di essere. Vediamo cosa è successo e perché la sua sofisticazione lo rende un caso da manuale.

Cosa è successo, con precisione

Secondo quanto confermato dalla stessa Revolut, l'azienda ha ricevuto richieste di informazioni provenienti da una casella di posta che operava effettivamente all'interno dell'infrastruttura di dominio autentica di un'agenzia governativa. Non si trattava, quindi, di un indirizzo simile ma leggermente diverso da quello reale, un trucco più facile da individuare: la richiesta ha superato i normali controlli tecnici di autenticazione che verificano la provenienza di un'email, proprio perché proveniva davvero, almeno dal punto di vista tecnico, da quel dominio.

Revolut ha dichiarato che si è trattato di una "sofisticata truffa di impersonazione esterna" e che il numero di clienti coinvolti è limitato, senza però specificare quanti né quale agenzia sia stata usata come copertura, una scelta deliberata per non permettere ad altre società di individuare facilmente messaggi simili nei propri archivi. Una volta scoperta l'anomalia, l'azienda ha bloccato l'indirizzo compromesso su tutti i propri sistemi interni e ha informato l'agenzia governativa reale, le forze dell'ordine, i regolatori finanziari e le autorità di protezione dei dati competenti.

Quali dati sono stati esposti

Secondo le notifiche inviate ai clienti coinvolti, tra le informazioni potenzialmente condivise con il soggetto non autorizzato figurano documenti di identità, indirizzi di residenza, dati di contatto, estratti conto, coordinate bancarie internazionali, registri dei prelievi e la cronologia completa delle transazioni, incluse quelle in Bitcoin. Su un punto specifico, quello dei selfie di verifica e dei dati biometrici, le informazioni circolate sono contrastanti: alcune ricostruzioni li includono tra i dati esposti, mentre la notifica ufficiale di Revolut ai clienti avrebbe specificato che nessun dato biometrico facciale è stato coinvolto. È un dettaglio su cui vale la pena mantenere la cautela dovuta finché non emergerà maggiore chiarezza.

Un ricercatore molto seguito nel settore, specializzato nell'analisi delle transazioni su blockchain, ha osservato che l'incidente sembra aver preso di mira in particolare clienti con patrimoni elevati, sollevando una preoccupazione che va oltre la semplice privacy digitale. La combinazione tra identità reale verificata, indirizzo di residenza e cronologia dettagliata dei possedimenti in criptovaluta è esattamente il tipo di informazione che può alimentare quelli che nel settore vengono chiamati "attacchi con la chiave inglese", aggressioni fisiche mirate contro persone note per possedere ingenti quantità di criptovalute. Tra le persone che hanno confermato pubblicamente di essere state coinvolte figura anche l'ex amministratore delegato di una storica piattaforma di scambio crypto, oggi nota soprattutto per il suo celebre e drammatico fallimento.

Non è un caso isolato in questi giorni

C'è un elemento di contesto che rende questa vicenda ancora più significativa, e che vale la pena sottolineare. Appena tre giorni prima di questo episodio, un altro grande produttore di portafogli hardware per criptovalute aveva confermato un incidente per certi versi simile nella sua natura di fondo: un account utilizzato per l'invio delle proprie comunicazioni ufficiali era stato compromesso e sfruttato per inviare un falso avviso di sicurezza a centinaia di migliaia di iscritti, esattamente lo schema che avevamo raccontato analizzando le false email di sicurezza che hanno colpito gli utenti di BitBox e Trezor.

Il filo conduttore tra i due episodi, pur diversi nei dettagli, è lo stesso: in entrambi i casi non è stata violata una tecnologia crittografica, ma sfruttato un canale di fiducia già esistente, che gli utenti o le stesse aziende davano per scontato fosse sicuro. È lo stesso principio di fondo che avevamo osservato anche a proposito di altri incidenti recenti nel settore, come il peg-out sospetto che ha coinvolto Liquid Network o l'exploit che ha colpito sei blockchain dell'ecosistema Cosmos: non è quasi mai la crittografia di base a cedere, ma i processi umani e organizzativi costruiti attorno a essa.

Security incident at Brevo, our third-party email provider

Trezor’s third-party marketing e-mail provider, Brevo has been breached in an attack. Trezor has quickly taken down the domain and is investigating the situation.

TrezorTrezor TeamSharing insights on crypto, security & self-custody

Cosa fare se si è stati coinvolti

Per chi utilizza Revolut e teme di essere stato coinvolto in questo episodio, il consiglio principale è verificare direttamente tramite l'app o il sito ufficiale dell'azienda, senza cliccare su eventuali link ricevuti via email che potrebbero a loro volta essere fraudolenti, un rischio concreto proprio nei giorni successivi a un incidente di questo tipo, quando i truffatori spesso cercano di approfittare della confusione generale.

Per chi possiede quantità significative di criptovalute, e i cui dati identificativi potrebbero ora essere associati pubblicamente al proprio patrimonio digitale, vale la pena adottare precauzioni concrete sulla propria sicurezza fisica e digitale: prestare maggiore attenzione a comunicazioni sospette che sfruttano dati personali reali per apparire credibili, ed essere consapevoli che informazioni di questo tipo, una volta uscite, non possono essere "richiamate" indietro. Conoscere bene le pratiche corrette di custodia resta fondamentale, come spieghiamo nella nostra guida su come proteggere le proprie criptovalute.

La lettura più grande

Il caso Revolut, al di là del singolo episodio, illumina una realtà scomoda ma importante da comprendere: quando un'identità reale, verificata e documentata, viene collegata pubblicamente o resa nota a terzi non autorizzati insieme a una cronologia dettagliata dei propri possedimenti in criptovaluta, si crea un rischio che va ben oltre la tradizionale preoccupazione informatica. Diventa un problema di sicurezza personale, fisica, che il mondo crypto conosce fin troppo bene e che si somma alle preoccupazioni più consuete su hack e vulnerabilità del codice.

Per l'osservatore, la lezione è duplice. Da un lato, questa vicenda dimostra che i requisiti di identificazione dei clienti, pur necessari per la conformità normativa, comportano un compromesso reale: più dati identificativi vengono raccolti e collegati all'attività finanziaria di una persona, maggiore diventa il danno potenziale se quei dati dovessero mai finire nelle mani sbagliate, per qualunque motivo. Dall'altro, casi come questo, verificatisi a distanza di pochi giorni contro aziende diverse del settore, dovrebbero spingere ogni operatore finanziario, tradizionale o crypto che sia, a rafforzare non solo le proprie difese tecniche, ma soprattutto i processi umani con cui vengono verificate le richieste che sembrano provenire da autorità legittime. La sicurezza, ancora una volta, si dimostra tanto una questione di persone e procedure quanto di codice e crittografia.