Clienti svizzeri di Revolut nel mirino di una violazione dei dati degli account

Quasi 700 clienti di Revolut si sono visti sottrarre i dati dei propri account da criminali, dopo che degli hacker hanno convinto la banca digitale di essere agenti delle forze dell’ordine italiane. Tra le persone coinvolte vi sono anche clienti con sede in Svizzera, benché Revolut non abbia indicato quanti clienti nel Paese siano stati interessati dall’incidente.

Secondo quanto riferito, gli aggressori avrebbero sfruttato la falsa autorità di un’indagine per fare pressione sulla banca e indurla a fornire informazioni. Dopo aver ottenuto i dati, hanno pubblicato online una richiesta di riscatto, chiedendo a Revolut 3 milioni di dollari in cambio del mantenimento della riservatezza dei dati dei clienti.

L’incidente mette gli utenti svizzeri in una situazione difficile. Le informazioni disponibili non permettono di stabilire se siano stati prelevati fondi dagli account interessati, né indicano con precisione quali informazioni siano state divulgate. I dati degli account possono comunque fornire ai criminali materiale utile per attacchi di phishing mirati, tentativi di impersonificazione e di acquisizione degli account.

Al momento della segnalazione dell’incidente, non era noto come Revolut avesse risposto alla richiesta di riscatto. La banca non ha inoltre dichiarato se le autorità svizzere o i clienti interessati siano stati informati direttamente. Questi dettagli determineranno il grado di esposizione degli utenti svizzeri e le misure di protezione che dovrebbero adottare.

Per ottenere i dati descritti nel rapporto, gli aggressori non hanno dovuto violare i sistemi centrali di Revolut. Secondo quanto riferito, hanno invece sfruttato un processo basato sulla fiducia, spacciandosi per un’agenzia delle forze dell’ordine italiane e chiedendo informazioni nell’ambito di un’indagine.

Questa tattica rientra nell’ingegneria sociale. I criminali si spacciano per istituzioni che le banche devono prendere sul serio, creando poi un senso d’urgenza attorno alla richiesta di informazioni sui clienti. La pressione può essere particolarmente efficace quando la richiesta sembra riguardare un’indagine transfrontaliera in corso.

Il rapporto non identifica i criminali, non nomina la presunta agenzia italiana e non spiega quali controlli interni siano venuti meno. Non precisa nemmeno se la richiesta sia stata inoltrata tramite e-mail, un portale legale o un altro canale di comunicazione. Sono elementi importanti, perché le banche si affidano in genere a procedure di verifica prima di divulgare i dati dei clienti.

Per i clienti di Revolut, il rischio immediato potrebbe estendersi oltre i dati stessi. I criminali in possesso di informazioni sul titolare di un account possono elaborare messaggi convincenti, apparentemente inviati da una banca, da un’autorità di polizia o da un’autorità di vigilanza finanziaria. I clienti dovrebbero diffidare di richieste inattese di codici, trasferimenti di denaro o documenti d’identità e contattare Revolut tramite l’applicazione ufficiale.

La violazione avviene mentre Revolut punta ad assumere un ruolo più importante in Svizzera. Secondo il rapporto fornito, la banca digitale ha richiesto una licenza bancaria svizzera e intende ampliare la propria presenza sul mercato.

Questa coincidenza aumenta l’attenzione sul modo in cui l’azienda gestisce le informazioni dei clienti. Una licenza bancaria svizzera inserirebbe Revolut in un quadro normativo nazionale più rigoroso, con requisiti in materia di governance, gestione dei rischi, resilienza operativa e protezione degli averi e dei dati dei clienti. La procedura di rilascio della licenza, di per sé, non garantisce che ogni futuro incidente informatico sarà evitato.

La divulgazione segnalata mette inoltre in evidenza una sfida per le banche digitali in rapida crescita. I loro servizi si basano su comunicazioni digitali rapide, procedure automatizzate e attività transfrontaliere. Questi sistemi possono rendere i servizi più veloci per i clienti, ma al tempo stesso creare più canali che i criminali potrebbero cercare di manipolare.

Il caso solleva questioni concrete per le autorità di regolamentazione svizzere e per i consumatori. Le autorità vorranno sapere come Revolut abbia verificato la richiesta, quali garanzie fossero previste prima della divulgazione e se i clienti interessati abbiano ricevuto tempestivamente un avviso. I clienti attenderanno anche una spiegazione chiara sui dati esposti e sugli eventuali risarcimenti o forme di assistenza.

La cibersicurezza non può essere considerata da nessuna banca un investimento una tantum. Il rapporto fonte rileva che le principali banche in Svizzera e altrove investono ingenti somme in infrastrutture di sicurezza avanzate, ma avverte anche che i criminali trovano nuovi modi per aggirare le protezioni esistenti.

L’incidente che ha coinvolto Revolut dimostra perché le sole difese tecniche non siano sufficienti. Una banca può proteggere le proprie reti con crittografia, sistemi di monitoraggio e controlli degli accessi, ma resta comunque esposta se un collaboratore o una procedura automatizzata accetta una richiesta fraudolenta da parte di qualcuno che si presenta come autorità ufficiale. Verificare le richieste legali, separare le responsabilità e attivare rapidamente i livelli superiori di controllo può essere altrettanto importante della sicurezza perimetrale.

I clienti svizzeri dovrebbero controllare i propri account e prestare attenzione ai messaggi che contengono dati personali trapelati. Dovrebbero evitare di cliccare sui link contenuti in e-mail o messaggi di testo inattesi, non comunicare mai le password monouso e segnalare i contatti sospetti attraverso i canali ufficiali della banca. Se un account mostra attività non autorizzate, i clienti dovrebbero contattare immediatamente Revolut e valutare la possibilità di segnalare il caso alla polizia.

Le prossime informazioni decisive dovranno arrivare da Revolut. Gli utenti svizzeri devono sapere quali dati sono stati divulgati, quando è avvenuta la divulgazione, se l’azienda ha circoscritto l’incidente e in che modo assisterà i clienti interessati.