Revolut raggirata, consegna agli hacker passaporti e cronologie Bitcoin di clienti facoltosi

Revolut ha divulgato passaporti dei clienti e cronologie delle transazioni in Bitcoin dopo aver trattato come legittima una richiesta governativa fraudolenta. I dati avrebbero potuto includere copie dei passaporti, copie delle patenti di guida e selfie per la verifica. Avrebbero potuto essere divulgati anche nomi, date di nascita, professioni, indirizzi di casa, numeri di telefono, IBAN ed estratti conto. Avrebbero potuto essere divulgati anche i registri dei prelievi e le cronologie complete delle transazioni. La richiesta fraudolenta proveniva da una casella di posta non autorizzata all'interno dell'infrastruttura dei domini di una vera agenzia governativa. La casella utilizzava credenziali di autenticazione valide. Le autenticazioni SPF, DKIM e DMARC hanno avuto esito positivo. Revolut ha contattato l'agenzia dopo aver divulgato i dati. Revolut ha concluso che la richiesta era fraudolenta. Revolut ha bloccato l'indirizzo e ha iniziato a informare clienti e autorità di regolamentazione. Revolut non ha identificato l'agenzia. Revolut non ha reso noto quanti clienti siano stati coinvolti. ZachXBT ha affermato che la divulgazione sembrava limitata per portata. ZachXBT ha affermato che potrebbe aver preso di mira clienti ad alto patrimonio. Non è stato segnalato il furto di fondi dei clienti. Le comunicazioni di Revolut non includevano password, PIN delle carte o chiavi private delle criptovalute. Le informazioni esposte potrebbero collegare identità verificate e indirizzi di residenza ad attività in criptovalute. Marc Zeller ha affermato che la divulgazione è avvenuta dopo che Revolut aveva chiesto ulteriori informazioni minacciando la chiusura dei conti. Zeller ha accusato Revolut di aver svolto il lavoro degli aggressori al posto loro. L'ex amministratore delegato di Mt. Gox, Mark Karpelès, ha sostenuto che identificare l'agenzia potrebbe aiutare altre banche ed exchange a stabilire se avessero ricevuto richieste dalla stessa casella di posta. Revolut ha dichiarato che i risultati dell'autenticazione l'avevano portata a ritenere che la richiesta provenisse da un'autentica autorità governativa. Revolut non ha detto se le richieste governative di informazioni richiedano una conferma al di fuori della posta elettronica. Revolut non ha detto perché abbia contattato l'agenzia solo dopo aver divulgato i dati dei clienti. Revolut non ha detto se abbia modificato quella procedura dopo aver scoperto la frode.