Revolut: riscatto di 3 milioni per non pubblicare i dati

Il gruppo IAmNotAVillain ha chiesto ieri sera un riscatto di 3 milioni di dollari a Revolut. La fintech dovrà pagare entro oggi, altrimenti i dati dei clienti verranno venduti o divulgati su Telegram. Sono intanto emersi nuovi dettagli sulle tecniche utilizzate dai cybercriminali per ottenere le informazioni attraverso una falsa richiesta legale.

Usata una PEC delle Prefettura di Reggio Calabria

L’attacco contro Revolut sarebbe durato oltre 5 mesi. I cybercriminali hanno inviato alla fintech britannica un elenco di transazioni in criptovalute e indirizzi di deposito associati a clienti di alto valore (circa 680) tramite un falso European Investigation Order (ordine europeo di indagine). Credendo che la richiesta fosse legittima, Revolut ha fornito via email un archivio ZIP protetto da password (inviata con una successiva email) i dati dei clienti, oltre a immagini dei documenti di identità e selfie di riconoscimento.

Come spiegato in un precedente articolo, i cybercriminali hanno usato un infostealer per ottenere l’accesso ad una PEC con dominio del Ministero dell’Interno. Nell’oggetto dell’email c’era un riferimento alla Polizia Postale di Roma. In realtà, la PEC compromessa appartiene alla Prefettura di Reggio Calabria.

Il gruppo IAmNotAVillain ha chiesto ieri sera un riscatto di 3 milioni di dollari in criptovalute Monero (XMR). Revolut dovrebbe pagare entro le successive 24 ore (ovvero le 18:30 di oggi) per evitare la vendita dei dati o la divulgazione sul canale Telegram. Un portavoce della fintech ha dichiarato che non è arrivata nessuna richiesta o contatto diretto.

La Procura della Repubblica di Reggio Calabria ha aperto un’inchiesta sul caso. Un’indagine è stata avviata anche dalla Polizia Postale. Quanto successo dimostra che Revolut non conosce le procedure giuridiche italiane. Come evidenziato da un ex ufficiale dell’Esercito, la Prefettura non emette ordini di acquisizione di dati bancari all’estero. Tale compito spetta alle Procure della Repubblica tramite canali giudiziari dedicati. La negligenza costerà sicuramente alla fintech milioni di euro in sanzioni da parte dei garanti della privacy.