Gli hacker che hanno ingannato Revolut ora chiedono 6.000 XMR

Secondo quanto dichiarato dagli hacker in un’intervista esclusiva al Financial Times (FT), Revolut non ha perso i dati dei clienti perché gli hacker hanno violato i suoi server. Gli aggressori li hanno semplicemente richiesti. Fingendosi per mesi forze dell’ordine italiane e utilizzando un sistema di posta elettronica governativo legittimo, un gruppo che si fa chiamare «iamnotavillain» ha trascorso mesi a richiedere file su specifici utenti di criptovalute. Le affermazioni degli hacker sono state rese ai giornalisti del FT Tom Wilson, Laith Al-Khalaf e Amy Kazmin attraverso «una serie di messaggi». Revolut avrebbe assecondato le richieste, inviando documenti che includevano passaporti, selfie e cronologie delle transazioni. Ora il gruppo afferma di essere in possesso dei dati di circa 680 persone e chiede 6.000 monero (XMR), pari a circa 3 milioni di dollari, mentre un conto alla rovescia pubblico minaccia di consegnare tali file identificativi ad altri criminali.

Non hanno fatto irruzione. Hanno semplicemente chiesto

La violazione dei dati di Revolut avrebbe avuto successo perché gli aggressori avrebbero utilizzato il sistema italiano della Posta Elettronica Certificata (PEC), una rete di posta elettronica certificata utilizzata per le comunicazioni legali e governative. I messaggi inviati attraverso il canale compromesso riportavano credenziali di autenticazione del dominio autentiche, quindi Revolut ha ricevuto e-mail che sembravano provenire da una vera autorità governativa.

Ecco il trucco. L’autenticazione poteva dimostrare che un’e-mail proveniva da un dominio legittimo, ma non poteva provare che la persona dietro l’account fosse effettivamente un funzionario autorizzato. Anziché aggirare i sistemi di sicurezza di Revolut, gli aggressori sostengono di aver sfruttato il processo progettato per gestire le richieste legittime da parte delle autorità governative.

Le vittime sono state selezionate in anticipo

Non si è trattato di un prelievo casuale di dati. Il gruppo sostiene di aver utilizzato l’analisi on-chain per identificare gli utenti di Revolut con un’attività significativa nel campo delle criptovalute, per poi richiedere i dati relativi a quelle persone per nome. L’articolo del Financial Times ha stimato che il gruppo colpito fosse composto da circa 680 persone che utilizzavano la piattaforma in 31 paesi, molte delle quali in Svizzera e in Francia.

I file includevano presumibilmente nomi, indirizzi, numeri di telefono, ID degli account, depositi e prelievi in criptovaluta, trasferimenti in valuta fiat, documenti KYC e selfie di verifica. In parole povere, il gruppo non stava raccogliendo semplici informazioni di contatto. Stava creando profili identificativi dettagliati su persone che riteneva valesse la pena prendere di mira.

Poi è arrivata la richiesta di Monero

Il 16 settembre, Iamnotavillain ha pubblicato un ultimatum pubblico su un sito web con lo stesso nome, chiedendo 6.000 XMR, pari a circa 3 milioni di dollari, entro 24 ore, pena la vendita dei file rubati ad altri gruppi criminali. In precedenza su Telegram era circolata una richiesta di 10.000 bitcoin (BTC), ma il gruppo ha successivamente attribuito quella cifra a un impostore o a un ex collaboratore.

Per molti osservatori, il passaggio a Monero (XMR) ha senso nel contesto di una richiesta di estorsione. Le transazioni in Bitcoin sono visibili su un registro pubblico, mentre XMR è progettato per nascondere i dettagli delle transazioni. Revolut, nel frattempo, ha dichiarato alla stampa di non aver ricevuto alcuna richiesta diretta da parte di chi ha rivendicato la responsabilità quando è apparso il conto alla rovescia, rendendo il conto alla rovescia tanto una campagna di pressione pubblica quanto una trattativa.

Revolut sostiene che i propri sistemi e i fondi dei clienti non siano stati compromessi. A quanto pare, i criminali non sono riusciti a penetrare nella rete centrale dell’azienda né a prosciugare i conti dei clienti. L’affermazione in questione è che, secondo quanto riferito, avrebbero convinto Revolut a consegnare informazioni tramite quelle che sembravano richieste ufficiali legittime.

Ciò non rende innocui i dati rubati. Un passaporto, un selfie, l’indirizzo di residenza, il numero di telefono e la cronologia delle transazioni possono favorire l’usurpazione d’identità, il ripristino degli account, false chiamate all’assistenza e attacchi successivi contro altri servizi finanziari. Il vero pericolo non è solo ciò che è stato sottratto a Revolut, ma ciò che quei file potrebbero sbloccare altrove.

Il problema più grave è il canale di fiducia KYC

Il 12 settembre Revolut ha dichiarato a TechCrunch di aver individuato la truffa di usurpazione d’identità, bloccato l’indirizzo e informato l’agenzia competente, le forze dell’ordine e le autorità di regolamentazione. Gli investigatori stanno ora esaminando come un canale di comunicazione governativo legittimo sia stato coinvolto nell’operazione.

Ciò solleva una domanda scomoda che va oltre la stessa società di valuta digitale. Se una casella di posta governativa compromessa ha potuto generare mesi di richieste di informazioni convincenti, altre istituzioni del settore delle criptovalute potrebbero aver ricevuto messaggi simili. Gli aggressori non hanno scassinato il caveau. Si sono fatti passare per le persone legalmente autorizzate a chiederne l’apertura.