Clienti Revolut residenti in Svizzera coinvolti in una violazione dei dati

Quasi 700 clienti Revolut hanno visto i propri dati di account esposti dopo che dei criminali si sono spacciati per funzionari delle forze dell’ordine italiane. Gli aggressori hanno fatto pressione sulla banca online affinché divulgasse informazioni che, a loro dire, erano necessarie per portare a termine un’indagine. Revolut ha accolto la richiesta, credendo che provenisse da un’autorità legittima, e i dati sono così finiti nelle mani dei criminali.

In seguito gli hacker hanno pubblicato online una richiesta di riscatto. Chiedono a Revolut 3 milioni di dollari USA in cambio della mancata diffusione dei dati dei clienti. Il rapporto di origine non precisa quali categorie di dati siano state coinvolte e non indica se siano in corso trattative per il pagamento.

Alcuni dei clienti coinvolti risiedono in Svizzera. Il loro numero non è stato reso noto. Questa incertezza impedisce ai clienti svizzeri di capire chiaramente a quale rischio siano esposti, anche per quanto riguarda un eventuale contatto diretto, il monitoraggio dei conti o altre misure di protezione da parte di Revolut.

L’incidente mette subito sotto esame in Svizzera un fornitore fintech internazionale. Revolut serve clienti in diversi Paesi e, nel frattempo, porta avanti i suoi progetti normativi a livello locale. Per gli utenti, la violazione solleva questioni pratiche su come una banca digitale verifichi le richieste ufficiali e comunichi dopo una falla nella sicurezza dei dati.

La violazione è iniziata con un inganno rivolto alla procedura di verifica interna di Revolut. I criminali si sono spacciati per un’agenzia italiana delle forze dell’ordine e hanno fatto pressione sulla banca affinché divulgasse i dati degli account. Il loro successo mostra come una richiesta apparentemente credibile da parte di un’autorità possa aprire la strada a informazioni finanziarie sensibili, anche quando il bersaglio è una piattaforma bancaria affermata.

Il resoconto disponibile dell’incidente non indica quale persona o gruppo abbia condotto l’attacco. Non spiega nemmeno come i truffatori abbiano costruito la loro falsa identità, quali verifiche abbia effettuato Revolut o se la richiesta sia passata attraverso una procedura interna di escalation. Questi dettagli saranno importanti per i clienti e le autorità di vigilanza che dovranno valutare se la falla sia il risultato di un singolo scambio manipolato o di una debolezza più ampia nelle procedure.

La richiesta di riscatto è arrivata dopo la divulgazione dei dati. Pubblicandola online, gli aggressori hanno creato un secondo punto di pressione sulla banca: decidere come rispondere proteggendo i clienti coinvolti e limitando un’ulteriore diffusione dei dati.

Nel rapporto di origine, Revolut non ha reso pubblica la propria risposta. Non ha nemmeno fornito una ripartizione dei conti coinvolti in Svizzera. Queste informazioni mancanti determineranno la fase successiva della vicenda.

Il momento in cui si verifica l’incidente mette ancora più sotto i riflettori i piani di espansione di Revolut in Svizzera. La società ha richiesto una licenza bancaria svizzera, nell’ambito dei suoi sforzi per consolidare la propria presenza sul mercato. La violazione dei dati avviene mentre l’azienda cerca di rafforzare la propria posizione tra i clienti svizzeri, portando le misure di sicurezza operative al centro del dibattito pubblico sulla sua richiesta.

Una licenza svizzera inserirebbe le ambizioni bancarie locali di Revolut in un contesto normativo più esigente. Il solo incidente non dimostra che la società abbia violato requisiti di legge svizzeri e il rapporto disponibile non descrive lo stato della richiesta. Fornisce tuttavia alle autorità di vigilanza e ai consumatori un caso concreto da esaminare: come un fornitore autentica le richieste delle autorità estere e quanto rapidamente informa le persone quando i loro dati sono stati esposti.

La dimensione transfrontaliera è significativa. I presunti funzionari erano italiani, la banca opera a livello internazionale e alcuni clienti coinvolti vivono in Svizzera. Questa combinazione può complicare la comunicazione, le indagini e l’attribuzione delle responsabilità, soprattutto quando i titolari di un conto utilizzano un servizio con sede all’estero.

I clienti svizzeri avranno bisogno di informazioni chiare sui dati coinvolti, sui conti interessati e sulle misure di protezione a loro disposizione. Nel rapporto di origine, Revolut non ha fornito questi dettagli.

Le grandi banche investono molto nella cibersicurezza, ma nessun istituto può considerare risolto il rischio di impersonificazione. Il rapporto di origine osserva che le principali banche in Svizzera e all’estero spendono generalmente ingenti somme in infrastrutture di sicurezza avanzate. Anche i criminali diventano sempre più sofisticati e sempre più capaci di aggirare le misure di protezione.

Per i consumatori svizzeri, la questione più immediata è la mancanza di informazioni. Il rapporto non indica quanti clienti locali siano stati coinvolti, quali dati abbiano ottenuto i criminali o se siano stati consultati direttamente i conti e i saldi. Queste distinzioni sono importanti. I dati personali sottratti possono favorire successivi tentativi di phishing anche quando un aggressore non preleva denaro da un conto.

I clienti dovrebbero trattare con cautela i messaggi inattesi che sembrano provenire da Revolut, da un servizio di polizia o da un’altra autorità. Dovrebbero utilizzare i canali ufficiali di assistenza, evitare di comunicare password o codici di sicurezza e controllare i conti per individuare eventuali attività insolite. Si tratta di precauzioni generali, non della prova che tutti i clienti svizzeri siano stati compromessi.

L’incidente pone inoltre davanti a Revolut una serie chiara di questioni da affrontare mentre prosegue l’iter della richiesta svizzera. Clienti e autorità di vigilanza si aspetteranno una spiegazione della falla nella verifica, un quadro preciso della popolazione coinvolta e indicazioni tempestive per le persone i cui dati sono stati divulgati. Finché non emergeranno questi dettagli, la portata dell’impatto in Svizzera resta da chiarire.