Revolut ha consegnato passaporti e selfie a qualcuno che si fingeva un'autorità pubblica

Revolut non ha subito un attacco informatico. È proprio questo a rendere la vicenda degna di essere letta.

Lunedì la banca ha confermato che qualcuno le aveva scritto chiedendo i dati di alcuni clienti spacciandosi per un'autorità pubblica, e che lei li ha inviati. La richiesta arrivava da un dominio governativo autentico e ha superato i controlli che dovrebbero dimostrare che una email è ciò che dichiara di essere, per cui il personale l'ha trattata come una pratica ordinaria. Quello che è uscito non era un elenco di indirizzi email. Erano scansioni di passaporti e patenti, i selfie che si scattano durante la verifica del conto, date di nascita, indirizzi di casa, professioni, numeri di telefono, estratti conto con gli IBAN, dati sui prelievi e gli storici completi delle transazioni, cripto incluse.

Revolut afferma che è coinvolto solo "un numero limitato" di clienti, che i suoi sistemi non sono mai stati toccati e che il denaro di nessuno si è mosso. L'indirizzo è stato bloccato appena rilevato il problema e sono stati avvisati l'ente pubblico coinvolto, le forze dell'ordine, l'autorità per la protezione dei dati e le autorità finanziarie. Chi ha i dati in mano si è mostrato meno misurato. Ha pubblicato campioni su gruppi Telegram e chiede 10.000 bitcoin, circa 780 milioni di dollari, minacciando di diffonderne altri ogni giorno finché Revolut non paga. L'investigatore cripto ZachXBT ritiene che il bersaglio fossero soprattutto i titolari di conti facoltosi.

Ecco la parte che riguarda tutti gli altri. La scansione di un passaporto con il selfie corrispondente è esattamente il pacchetto che serve per aprire conti a vostro nome o per convincere un operatore dell'assistenza a reimpostare un accesso. E chiunque vi telefoni adesso dicendo di essere Revolut può recitarvi le ultime operazioni, ed è precisamente questo che fa funzionare una finta chiamata dell'antifrode. Nessuna banca vi chiamerà per chiedervi di spostare il denaro su un "conto sicuro": riagganciate e usate la chat dell'app. Il controllo privacy e account di Tendvane passa in rassegna le impostazioni di accesso e di recupero del vostro PC, che è l'altra porta a cui questa gente bussa subito dopo.