Se usi Revolut, la cosa più utile da fare adesso è controllare subito l’attività del tuo account, cambiare la password se riutilizzata altrove e attivare l’autenticazione a più fattori. Al momento, la segnalazione riguarda una presunta vendita di dati da parte di un attore malevolo, ma la società sostiene di non aver trovato evidenze di un nuovo breach. In altre parole, la notizia va presa sul serio, ma non va trattata come confermata finché non emergono riscontri tecnici solidi.
Cosa sta succedendo
Nelle ultime ore un criminale informatico ha sostenuto di avere in vendita un database collegato a Revolut, con oltre 75 milioni di record. La cifra è molto ampia e, se fosse autentica, indicherebbe un’esposizione di grandi dimensioni con possibili conseguenze per utenti in più paesi.
La parte più delicata della vicenda non è solo il numero dichiarato, ma il tipo di dati che il venditore afferma di possedere. Nei campioni condivisi con i ricercatori compaiono informazioni come nomi completi, indirizzi email, numeri di telefono, indirizzi fisici, identificativi account, dati del dispositivo e credenziali hashate. In alcuni casi sarebbero presenti anche dettagli parziali di carte di pagamento, come ultime quattro cifre, tipo di carta, data di scadenza e stato della carta.
Il prezzo richiesto per l’intero lotto, secondo quanto riportato, sarebbe di circa 500 dollari. Una cifra così bassa rispetto alla presunta quantità di dati solleva dubbi sulla qualità, sull’originalità e sulla reale provenienza del materiale offerto.
Perché questa notizia è importante
Anche quando un archivio non è immediatamente confermato come “nuova violazione”, la sola presenza di dati personali in ambienti criminali può alimentare campagne di phishing, furto d’identità e frodi finanziarie. Un indirizzo email, un nome e qualche dettaglio sul conto o sul dispositivo bastano spesso per costruire messaggi molto credibili.
Nel caso di una fintech molto diffusa, il rischio principale non è solo l’accesso diretto al conto, ma la possibilità che un truffatore usi dati parziali per convincere la vittima a condividere codici, password o conferme di sicurezza. Per questo la prudenza è fondamentale anche prima della conferma di un eventuale incidente.
La posizione di Revolut
Revolut, secondo quanto dichiarato pubblicamente, contesta che la presunta inserzione dimostri una violazione reale dei suoi sistemi. L’azienda afferma di non aver visto un conteggio verificabile dei record, campioni significativi o elementi tecnici sufficienti per provare un nuovo accesso non autorizzato.
La società sostiene inoltre che i propri controlli interni e i sistemi di monitoraggio non hanno mostrato segnali coerenti con una compromissione recente. È in corso un’indagine, ma al momento non ci sarebbe conferma di un attacco in atto o di una nuova intrusione nei sistemi.
Cosa contengono i campioni descritti
Le descrizioni dei campioni diffuse da chi ha analizzato l’offerta parlano di un insieme molto ricco di informazioni. Tra gli elementi indicati figurano:
- Email e nomi completi
- Numeri di telefono
- Indirizzi fisici
- Paese di registrazione
- IP di registrazione
- Identificativi dell’account
- Modelli di dispositivo e sistemi operativi
- Hash delle password, attribuiti a algoritmi come bcrypt o argon2id
- Dati parziali delle carte, inclusi ultime cifre, tipo carta e scadenza
Se questi campioni fossero autentici e recenti, il valore operativo per i truffatori sarebbe alto, perché consentirebbero di creare profili dettagliati degli utenti e messaggi molto personalizzati.
Perché il prezzo basso è sospetto
Una delle incongruenze più note è il prezzo: circa 500 dollari per una presunta banca dati di queste dimensioni è insolitamente poco. Nei mercati criminali il costo dipende da diversi fattori: freschezza del dato, livello di verifica, qualità delle informazioni, disponibilità di elementi monetizzabili e unicità del contenuto.
Un prezzo così ridotto può indicare diverse possibilità:
- il database non è autentico
- il database è vecchio o incompleto
- i dati sono aggregati da fonti diverse
- il venditore cerca solo attenzione o reputazione nel forum criminale
- il materiale contiene parti già circolate altrove
Questa anomalia non esclude un rischio reale, ma suggerisce che serva cautela prima di considerare la notizia come una violazione confermata.
Il precedente del 2022
Revolut aveva già reso noto nel 2022 un attacco mirato di social engineering che aveva coinvolto circa 50.150 clienti, pari a una piccola quota della base utenti di allora. In quel caso furono esposti dati personali come nomi, indirizzi, email, numeri di telefono e informazioni parziali sulle carte, ma non risultò un accesso diretto ai fondi dei clienti.
Il confronto con l’episodio attuale è importante: se il nuovo archivio fosse reale, la portata sarebbe molto più ampia rispetto al caso del 2022. Tuttavia, al momento, non esistono elementi pubblici sufficienti per stabilire che si tratti davvero di una nuova compromissione dei sistemi.
Come proteggersi subito
Se hai un account Revolut, le azioni più utili sono semplici e immediate:
- Controlla le transazioni recenti
- Verifica email, telefono e dati di recupero
- Cambia la password se la usi anche altrove
- Attiva l’autenticazione a più fattori
- Diffida di SMS, email o chiamate urgenti
- Non aprire link ricevuti fuori dall’app ufficiale
- Contatta l’assistenza solo tramite canali verificati
- Imposta notifiche per movimenti e accessi sospetti
È utile anche ricordare che molte truffe non iniziano con un furto diretto dell’account, ma con un messaggio che imita un avviso di sicurezza. Se un contatto pretende urgenza, segnala problemi di login o chiede di “verificare” dati personali, trattalo come sospetto.
Segnali tipici di phishing da monitorare
Un eventuale tentativo di frode legato a questo caso potrebbe contenere riferimenti realistici al tuo profilo, ad esempio nome corretto, ultime cifre della carta o un linguaggio coerente con un servizio finanziario. Proprio per questo è importante osservare alcuni campanelli d’allarme:
- richieste di inserire credenziali su pagine esterne all’app
- messaggi che spingono a confermare dati in pochi minuti
- link abbreviati o domini simili a quelli ufficiali
- richieste di codice OTP o codici di verifica via chat o telefono
- avvisi di blocco conto con tono minaccioso
La regola pratica è semplice: se il messaggio chiede azioni urgenti, verifica sempre dall’app o dal sito ufficiale digitato manualmente.
Cosa significa per gli utenti comuni
Per la maggior parte delle persone, l’impatto immediato di una notizia come questa non è un blocco del conto, ma un aumento del rischio di truffe mirate. Se i dati circolassero davvero, gli aggressori potrebbero usarli per creare messaggi molto convincenti e spingere l’utente a compiere azioni pericolose.
Per questo la risposta migliore non è il panico, ma una verifica ordinata: controllare il proprio account, rafforzare la sicurezza e restare attenti alle comunicazioni inattese. Se non ci sono anomalie, il rischio può essere contenuto con buone pratiche di igiene digitale.
Technical Deep Dive
La valutazione di un presunto data breach richiede più di uno screenshot di un forum. In ambito forense e threat intelligence, la prima domanda è se i campioni mostrati siano coerenti, univoci e verificabili. Quando un venditore propone un database, gli analisti cercano di stabilire se i record presentano pattern compatibili con un unico sistema sorgente, con più sorgenti fuse insieme, oppure con dati riciclati da incidenti precedenti.
Nel caso descritto, la presenza di bcrypt o argon2id come algoritmi di hashing non implica automaticamente una compromissione recente dei sistemi. Questi algoritmi sono comunemente usati per proteggere le password e, se implementati correttamente, riducono la probabilità di recupero in chiaro delle credenziali. Tuttavia, un hash ben protetto non elimina il rischio di credential stuffing, soprattutto se gli utenti riutilizzano password già esposte altrove.
La combinazione di PII e metadati di dispositivo è particolarmente sensibile perché consente tecniche di profiling e social engineering più sofisticate. Campi come modello del device, sistema operativo, IP di registrazione e paese possono essere usati per costruire catene di fiducia artificiali: ad esempio, un attaccante può contattare una vittima con riferimenti plausibili al suo contesto geografico o al suo ambiente tecnologico.
Un altro elemento tecnico rilevante è la distinzione tra accesso a dati e accesso ai sistemi. Un elenco di record può derivare da molte origini: leak di terze parti, raccolte da malware infostealer, vecchi export interni, credenziali riutilizzate, o aggregazioni da fonti diverse. Per attribuire con sicurezza un dataset a una specifica azienda, servono indicatori robusti: struttura dei campi, coerenza temporale, metadati di generazione, formati proprietari, riferimenti interni e corrispondenze con eventi noti.
Anche il timing è importante. Se i dati sembrano estendersi fino a un periodo recente, gli analisti verificano se i campioni sono compatibili con formati attuali dell’azienda o con schemi precedenti già documentati. Quando una raccolta non si allinea con incidenti noti, la possibilità che sia un collage di sorgenti multiple aumenta in modo significativo.
Dal punto di vista difensivo, l’approccio più efficace combina monitoraggio degli accessi, alert sulle anomalie, rotazione delle credenziali e controllo delle sessioni attive. Per gli utenti finali, la misura più utile resta l’uso di password uniche, MFA resistente al phishing quando disponibile, e attenzione rigorosa ai messaggi che chiedono conferme di sicurezza al di fuori dell’applicazione ufficiale.
Fonte: https://cybersecuritynews.com/revolut-alleged-data-breach/
