I truffatori non sono entrati nei sistemi di Revolut e non hanno forzato le difese dell’app. Hanno seguito una strada diversa: si sono presentati come rappresentanti di un’autorità pubblica e hanno chiesto alla società di consegnare i dati di alcuni clienti. Le richieste sembravano autentiche perché provenivano da una casella appartenente a un dominio istituzionale italiano e utilizzavano il sistema di posta elettronica certificata.
Revolut ha creduto di rispondere a una richiesta legittima e ha trasmesso le informazioni. Soltanto in seguito si è accorta che dietro quelle comunicazioni c’erano soggetti non autorizzati. La società ha quindi bloccato l’indirizzo, informato le autorità e avvisato le persone che ritiene coinvolte.
Secondo le ricostruzioni pubblicate dalla stampa, sarebbero interessati circa 680 clienti, in gran parte residenti in Francia e Svizzera, ma con casi distribuiti in oltre trenta Paesi europei. L’operazione non sarebbe stata casuale: i truffatori avrebbero cercato soprattutto persone con un’attività rilevante nel settore delle criptovalute.
Il ricatto alza il rischio
Ieri la vicenda ha fatto un altro passo. Il gruppo che si attribuisce la sottrazione dei dati ha chiesto pubblicamente a Revolut circa 3 milioni di dollari, pari a 6.000 Monero, minacciando di vendere le informazioni ad altri gruppi criminali se il pagamento non fosse arrivato entro 24 ore. Revolut ha però dichiarato di non avere ricevuto una richiesta diretta e, al momento della pubblicazione della notizia, non risultavano trattative. Il riscatto resta quindi una rivendicazione pubblica degli aggressori.
Sono emersi anche nuovi particolari sulla presunta origine dell’attacco. Secondo un’inchiesta di IrpiMedia, sarebbe stato compromesso un computer della Prefettura di Reggio Calabria, sul quale i criminali avrebbero installato un programma capace di sottrarre le credenziali della Pec. La casella avrebbe inoltre consentito l’accesso senza autenticazione a due fattori. Questi elementi provengono da fonti giornalistiche e non risultano ancora confermati pubblicamente dal Viminale o dalla Prefettura.
Quali dati sono stati consegnati
Le informazioni comunicate non sarebbero uguali per tutti. Tra quelle potenzialmente esposte figurano nome e cognome, data di nascita, numero di telefono, indirizzo di posta elettronica e indirizzo di casa. In alcuni casi sarebbero state trasmesse anche copie del passaporto o di altri documenti d’identità, la fotografia utilizzata per verificare il cliente, l’Iban, gli estratti conto e la cronologia delle operazioni, comprese quelle in bitcoin.
Non risultano invece sottratti direttamente dai sistemi Revolut il codice di accesso all’app, il Pin, le password o il codice di sicurezza della carta. La società sostiene inoltre che i suoi sistemi informatici e il denaro depositato dai clienti non siano stati compromessi.
Questo non rende però l’incidente irrilevante. Un insieme composto da documento, fotografia, indirizzo e informazioni finanziarie può essere utilizzato per costruire tentativi di truffa molto convincenti. Chi chiama potrebbe conoscere una vera operazione effettuata dal cliente, il suo Iban o una parte della sua storia finanziaria. Tutti elementi che possono far sembrare autentico un contatto che non lo è.
Tutti i clienti Revolut sono a rischio?
No. Al momento non emerge una violazione generalizzata della banca e non risultano coinvolti indistintamente tutti i clienti. Revolut afferma di avere contattato direttamente le persone interessate.
Chi non ha ricevuto una comunicazione specifica ha quindi minori ragioni per preoccuparsi. Conviene comunque chiedere conferma attraverso la chat aperta direttamente nell’app, evitando di rispondere a eventuali messaggi ricevuti per posta elettronica o Sms.
La notizia potrebbe infatti essere sfruttata per una seconda ondata di truffe. Un messaggio potrebbe annunciare che il conto è stato violato e invitare a premere un collegamento, comunicare un codice oppure trasferire il denaro su un presunto “conto sicuro”. È proprio in situazioni di questo tipo che la fretta diventa l’arma principale dei criminali.
Revolut ricorda che non contatta inaspettatamente i clienti per chiedere il Pin, il codice dell’app o un trasferimento di denaro. Se arriva una telefonata sospetta, bisogna interromperla e verificare la situazione entrando autonomamente nell’app. Il fatto che chi chiama conosca informazioni vere non dimostra che lavori per la banca.
Che cosa rischia chi è stato coinvolto
Il primo pericolo è il furto d’identità. La copia di un documento, unita alla fotografia e ai dati anagrafici, può essere impiegata per provare ad aprire conti o richiedere servizi finanziari a nome della vittima. Non è detto che il tentativo riesca, perché gli intermediari utilizzano controlli ulteriori, ma il rischio non può essere escluso.
C’è poi la possibilità di un attacco mirato al conto o al numero di telefono. Conoscendo molti dettagli personali, un truffatore può cercare di ottenere una nuova Sim, recuperare l’accesso a un servizio oppure convincere la vittima ad autorizzare volontariamente un pagamento.
Per chi possiede somme rilevanti in criptovalute il rischio può essere ancora più delicato. La combinazione tra indirizzo di casa e informazioni sulle disponibilità finanziarie può favorire ricatti, minacce o tentativi di estorsione. Alcuni dati sarebbero già stati pubblicati come dimostrazione del materiale ottenuto. La richiesta di riscatto e la minaccia di vendere l’intero archivio rendono quindi più concreto il pericolo che le informazioni finiscano nelle mani di altri criminali.
La conoscenza del solo Iban, invece, non basta normalmente per svuotare un conto. Il rischio aumenta quando l’Iban viene utilizzato insieme ad altre informazioni per conquistare la fiducia del cliente e convincerlo a comunicare codici o approvare operazioni.
Cosa fare subito
Il primo controllo va effettuato nell’app Revolut, verificando notifiche, conversazioni con l’assistenza e movimenti recenti. È opportuno attivare l’accesso biometrico, se possibile, controllare che non siano collegati dispositivi sconosciuti e assicurarsi di ricevere una notifica per ogni pagamento, bonifico o prelievo.
Particolare attenzione va dedicata alla casella di posta elettronica associata al conto. Deve essere protetta da una password lunga, diversa da quelle utilizzate altrove, e dall’autenticazione a due fattori. Quando possibile, è preferibile utilizzare una app di autenticazione invece di affidarsi esclusivamente agli Sms.
Non serve bloccare automaticamente la carta solo perché si è clienti Revolut: al momento non risulta che i numeri completi delle carte e i relativi codici di sicurezza facciano parte delle informazioni diffuse. Il blocco diventa però necessario se compare un’operazione non riconosciuta, se si sono inseriti dati attraverso un collegamento sospetto o se Revolut conferma che anche i dati della carta sono stati esposti.
Per gli acquisti online può essere utile impiegare una carta virtuale e impostare limiti di spesa. Chi utilizza Revolut per custodire investimenti o criptovalute dovrebbe attivare, se disponibile, anche la protezione aggiuntiva con verifica biometrica per le operazioni più sensibili.
Se Revolut conferma il coinvolgimento
Chi riceve la comunicazione di Revolut dovrebbe chiedere per iscritto quali informazioni siano state consegnate, in quali date, a quale soggetto e quali misure siano state adottate. Sapere se sono finiti nelle mani dei truffatori soltanto i dati di contatto oppure anche il documento e l’estratto conto cambia molto il livello di rischio.
È inoltre consigliabile modificare il codice di accesso all’app e la password della posta elettronica, controllare periodicamente che non siano stati aperti rapporti o richiesti finanziamenti a proprio nome e conservare tutte le comunicazioni ricevute. La sostituzione del documento non deve essere automatica: va valutata dopo aver accertato che una copia sia stata effettivamente esposta e dopo aver chiesto indicazioni all’autorità che lo ha rilasciato.
Se il telefono perde improvvisamente il segnale senza una ragione evidente, occorre contattare subito l’operatore telefonico: potrebbe essere il segnale di una sostituzione fraudolenta della Sim. Operazioni non riconosciute, conti aperti a propria insaputa, ricatti o minacce devono invece essere segnalati immediatamente a Revolut e alla Polizia Postale.
Non serve farsi prendere dal panico
La vicenda solleva domande importanti sui controlli applicati da Revolut prima di consegnare informazioni così delicate. La provenienza da una casella istituzionale non dovrebbe infatti sostituire una verifica indipendente dell’identità e dei poteri di chi presenta la richiesta.
Per il comune cliente, però, la conclusione non è che tutti i conti siano stati violati o che sia necessario ritirare immediatamente il denaro. L’incidente sembra circoscritto a un numero limitato di persone selezionate. La prima cosa da fare è verificare se si rientra tra queste, utilizzando esclusivamente l’app ufficiale.
Per tutti gli altri resta una precauzione essenziale: diffidare di chi crea allarme e chiede di agire subito. Una telefonata può sembrare credibile, un messaggio può contenere dati corretti e un indirizzo può apparire ufficiale. Come dimostra proprio il caso Revolut, però, anche un canale autentico può essere utilizzato da chi autentico non è.
