Violazione dati Revolut: quando l'autorità che chiede è falsa

Revolut ha divulgato dati dei clienti perché le richieste somigliavano ad autentiche domande di informazioni da parte di autorità. L'azienda ha confermato l'incidente il 12 settembre a Reuters: un terzo non autorizzato avrebbe usato un indirizzo e-mail sotto un dominio reale di un'autorità. Al centro resta così una domanda che va oltre la sicurezza di un'app bancaria: come verifica una banca chi può chiedere documenti privati?

Cosa è documentato – e cosa sostengono gli aggressori

Il Financial Times ha parlato di circa 680 clienti coinvolti. Nel suo resoconto sui presunti autori si legge, sulla base delle loro dichiarazioni, che la maggior parte degli interessati proviene da Svizzera e Francia. Gli aggressori sostengono di aver ottenuto dati per mesi tramite un sistema di posta elettronica di un'autorità italiana compromesso. Nelle fonti qui consultate non è disponibile una ripartizione per la Svizzera confermata in modo indipendente. Da «680 coinvolti» non diventano quindi «680 vittime svizzere».

Il FT cita tra l'altro dati di documenti d'identità e indirizzi tra le informazioni divulgate. Secondo il suo resoconto, Revolut ha dichiarato che i propri sistemi e i fondi dei clienti sono al sicuro. Questa affermazione è rilevante, ma risponde a un'altra domanda: i dati possono perdere la loro riservatezza senza che nello stesso momento sparisca denaro dal conto.

Anche sull'estorsione serve precisione. Il 16 settembre Reuters ha riferito di una richiesta di tre milioni di dollari descritta dal FT. Revolut ha dichiarato in merito di non essere stata contattata direttamente né di aver ricevuto una richiesta diretta. Una minaccia diffusa pubblicamente e una richiesta di pagamento arrivata all'azienda non sono la stessa cosa.

Una vulnerabilità nota nel traffico con le autorità

Già il 4 novembre 2024 l'FBI aveva messo in guardia, in una comunicazione pubblica, proprio da questa classe di attacchi: i criminali usavano account e-mail compromessi di autorità americane e straniere per richieste fraudolente di dati d'emergenza a imprese statunitensi. In simili procedure la presunta urgenza crea ulteriore pressione per fornire rapidamente le informazioni.

L'avvertimento non dimostra lo svolgimento concreto dei fatti in Revolut. Mostra però che il pericolo di fondo è documentato da anni. Un dominio autentico non conferma da solo che la persona dietro di esso sia autorizzata e che il contenuto di una richiesta sia corretto.

L'FBI raccomanda ai destinatari di verificare la plausibilità, tra l'altro, delle basi giuridiche citate, di firme e loghi insoliti. In caso di dubbi invitano a consultarsi con il mittente e con l'autorità competente. La comunicazione documenta anche una richiesta fraudolenta respinta a PayPal. Tali attacchi quindi non devono necessariamente riuscire.

Per Revolut restano dunque domande concrete: quale verifica è stata fatta prima della consegna? L'ufficio competente è stato verificato in modo indipendente? Ed è stato controllato se l'ampiezza e il contenuto dei dati richiesti corrispondessero allo scopo dichiarato? Le dichiarazioni pubbliche esaminate non rispondono a queste domande.

L'espansione svizzera richiede una fiducia verificabile

L'incidente cade in una fase in cui Revolut vuole ampliare il proprio ruolo in Svizzera. Il 16 settembre l'azienda ha comunicato di aver presentato alla FINMA domanda per una licenza bancaria svizzera. Nell'arco di cinque anni dovrebbero essere investiti più di 150 milioni di franchi. Entrambe sono dichiarazioni aziendali; l'investimento è un annuncio, non un importo già speso.

Secondo la propria presentazione, Revolut conta in Svizzera oltre 1,3 milioni di clienti. Attualmente questi sono seguiti da Revolut Bank UAB, autorizzata in Lituania. La banca svizzera pianificata creerebbe una nuova struttura locale. Secondo Revolut la procedura è pendente, l'esito aperto.

Un annuncio di licenza, però, non chiarisce alcun incidente sui dati. Viceversa, la fuga di dati da sola non consente alcuna conclusione solida sulla futura decisione della FINMA. Per i clienti conta per ora un'informazione comprensibile su quali propri documenti siano coinvolti e su quali verifiche debbano in futuro impedire una nuova consegna.