Revolut ha confermato che informazioni sensibili dei clienti sono state divulgate a una terza parte non autorizzata dopo richieste fraudolente provenienti dal dominio email legittimo di un’agenzia governativa. L’incidente ha sfruttato l’apparente autorità di un canale esterno, non un’intrusione segnalata nei sistemi centrali di Revolut.
La società ha descritto il gruppo colpito come un numero molto limitato di clienti e ha detto di averli avvisati tutti. Non ha comunicato una cifra esatta, quindi la portata non va trasformata in un numero maggiore o più preciso senza ulteriori conferme.
Le informazioni esposte comprenderebbero date di nascita, indirizzi postali ed elettronici, numeri telefonici e copie di documenti d’identità, tra cui passaporti e patenti. Queste categorie possono agevolare impersonificazione e phishing mirato anche senza accesso ai fondi.
Revolut ha affermato che i suoi sistemi e il denaro dei clienti non sono stati interessati. La distinzione limita l’impatto operativo confermato, ma non elimina il rischio per la privacy quando documenti durevoli e recapiti arrivano a un destinatario non autorizzato.
Dopo aver rilevato l’incidente, l’azienda ha detto di aver bloccato l’indirizzo usato per le richieste. Ha inoltre avvisato l’agenzia interessata, le forze dell’ordine, le autorità per i dati e i regolatori finanziari, mettendo sotto esame il canale ingannevole e i controlli di verifica di Revolut.
L’episodio evidenzia una falla capace di superare le difese tecniche perimetrali. Un messaggio può provenire da un dominio legittimo e contenere comunque una richiesta non autorizzata, imponendo di verificare richiedente, autorità giuridica, ambito e canale indipendente prima di divulgare dati.
La violazione arriva mentre Revolut valuta una possibile quotazione e punterebbe a una valutazione fino a 200 miliardi di dollari. Queste ambizioni sono separate dall’incidente, ma risposta normativa, costi di rimedio e fiducia possono incidere sulla valutazione della governance di una fintech.
Le prossime evidenze dovrebbero includere numero confermato dei clienti, inventario completo dei dati, durata delle richieste ed eventuali abusi dimostrati. Fino ad allora, la conclusione difendibile è una divulgazione seria ma limitata, senza compromissione confermata dei sistemi o dei fondi dei clienti.
