Revolut smentisce di aver avuto contatti con gli hacker in merito alla richiesta di riscatto di 3 milioni di dollari segnalata

«Nessuna richiesta diretta ricevuta», afferma Revolut

Revolut ha dichiarato di non aver ricevuto contatti diretti né richieste da parte di alcun gruppo che rivendicasse la responsabilità della recente violazione dei dati. La smentita dell’azienda fintech è arrivata meno di 24 ore dopo le notizie secondo cui gli hacker avrebbero chiesto 6.000 XMR, per un valore di 3 milioni di dollari, per impedire che i file dei clienti, a cui avevano avuto accesso illegalmente, finissero sul mercato.

L’azienda fintech con sede a Londra ha confermato all’inizio di questo mese che una terza parte non autorizzata ha ottenuto informazioni sensibili appartenenti a un numero limitato di clienti utilizzando il dominio e-mail di un’agenzia governativa legittima per inviare richieste di dati fraudolente. Le dichiarazioni pubbliche pubblicate online questa settimana da un hacker che opera con il nome “IAmNotAVillain” minacciavano di divulgare o vendere i dati dei clienti a meno che Revolut non avesse pagato.

«Revolut non ha ricevuto alcun contatto diretto né alcuna richiesta da parte degli individui o del gruppo che avanzano queste pretese», avrebbe dichiarato un portavoce dell’azienda. La violazione, che secondo quanto riferito avrebbe preso di mira circa 680 clienti con un patrimonio netto elevato in tutta Europa, non ha comportato un’intrusione tecnica diretta nei sistemi centrali di Revolut.

Gli autori dell’attacco hanno invece utilizzato tecniche di ingegneria sociale per spacciarsi per autorità governative nel corso di diversi mesi, ottenendo file di verifica dei clienti, documenti di identità e registrazioni delle transazioni. Revolut ha sottolineato che i fondi dei clienti e i sistemi interni rimangono al sicuro e non sono stati compromessi. L’azienda ha dichiarato di aver bloccato l’indirizzo e-mail fraudolento non appena ha scoperto la violazione e di aver segnalato l’incidente alle forze dell’ordine, alle autorità per la protezione dei dati e alle autorità di vigilanza finanziaria.

Un analista mette in guardia sulle vulnerabilità del KYC

L’incidente mette in luce vulnerabilità sistemiche più ampie nel modo in cui gli istituti finanziari gestiscono i dati identificativi obbligatori. Jonathan Riss, analista di open source e blockchain intelligence presso la società di sicurezza Certik, ha sostenuto che la causa principale va oltre le difese delle singole aziende e riguarda gli stessi requisiti normativi.

«Il vero problema è che il KYC ha creato un livello di identità estremamente sensibile che le piattaforme finanziarie sono tenute a mantenere, spesso perché i governi e le autorità di regolamentazione richiedono informazioni sempre più dettagliate sui clienti», ha affermato Riss. «La responsabilità, quindi, non ricade solo sulle banche, sulle fintech o sugli exchange di criptovalute».

Secondo Riss, anche le autorità pubbliche devono valutare se ogni informazione da loro richiesta sia effettivamente necessaria e per quanto tempo debba essere conservata. Dovrebbero inoltre verificare se le procedure esistenti per la richiesta dei dati dei clienti siano sufficientemente sicure.

Riss, nel frattempo, ha osservato che la divulgazione di file identificativi dettagliati può comportare rischi concreti più elevati nel settore delle risorse digitali. «Le piattaforme dovrebbero comunque ridurre al minimo la conservazione dei dati, limitare l’accesso e rafforzare l’autenticazione delle richieste provenienti da governi e forze dell’ordine attraverso canali di verifica indipendenti», ha aggiunto Riss.

Sebbene il dibattito sulle tattiche degli hacker sia destinato a continuare, Riss ritiene che l’incidente dovrebbe spingere il settore e le autorità di regolamentazione a ripensare il modello attuale. L’obiettivo non dovrebbe più limitarsi alla protezione dei portafogli e dei fondi, ma dovrebbe includere anche la tutela delle identità finanziarie degli utenti.