Il dominio era reale. L'autorità dietro non lo era
Revolut ha confermato il 12 settembre di aver divulgato dati dei clienti dopo aver ricevuto quella che ha definito "una sofisticata truffa di impersonificazione esterna", in cui un aggressore ha usato il dominio email autentico di un ente governativo per inviare richieste fraudolente. La dichiarazione di Revolut ha spiegato che la richiesta presentava credenziali che hanno superato i controlli interni dell'azienda, e da allora l'indirizzo è stato bloccato e sono state allertate le forze dell'ordine e le autorità di vigilanza. L'azienda non ha nominato l'ente il cui dominio è stato usato, e non ha detto se il dominio stesso sia stato compromesso o se l'aggressore abbia trovato un altro modo per inviare messaggi da esso.
Revolut è stata chiara su un punto: "I sistemi di Revolut e i fondi dei clienti non sono stati toccati." Non si è trattato di un'intrusione nell'infrastruttura di Revolut. È stato il processo interno di Revolut per rispondere alle richieste ufficiali, funzionante esattamente come previsto, di fronte a una richiesta identica in tutto e per tutto a quelle che è progettato per soddisfare.
Cosa è uscito realmente dai sistemi di Revolut
I file esposti, secondo le informazioni raccolte dopo la divulgazione, andavano ben oltre un nome e un indirizzo.
| Categoria | Cosa è stato esposto |
|---|---|
| Documenti d'identità | Passaporti o patenti di guida, oltre a selfie di verifica |
| Dati personali | Nomi, date di nascita, professioni, indirizzi di casa, email, numeri di telefono |
| Dati finanziari | IBAN, estratti conto, registri dei prelievi |
| Cronologia delle transazioni | Cronologie complete delle transazioni, compresa l'attività in bitcoin |
Revolut ha dichiarato che il numero di clienti coinvolti è "limitato" senza fornire una cifra precisa, e nemmeno le fonti indipendenti sono riuscite a confermare un dato. L'inclusione delle cronologie complete delle transazioni in criptovalute conta al di là della violazione immediata della privacy: consegna a chiunque detenga questi dati un elenco già pronto di quali clienti possiedono e muovono davvero asset digitali, esattamente le informazioni di targeting di cui avrebbe bisogno una truffa successiva.
Questo è un fallimento di verifica, non un attacco informatico
Lo schema non è nuovo, cambia solo il bersaglio. Le truffe di compromissione dell'email aziendale (business email compromise) inducono da anni i reparti finanziari a bonificare denaro a un fornitore falso falsificando o dirottando il dominio di una controparte reale, e la difesa insegnata a ogni reparto finanziario è sempre la stessa: il fatto che un dominio sia reale non rende reale la richiesta che lo accompagna, quindi va verificato tramite un canale indipendente prima di muovere qualsiasi cosa. La violazione di Revolut è lo stesso identico fallimento, ma sul lato dei dati anziché su quello del denaro. Un dominio appartenente davvero a un ente governativo è bastato per ottenere il rilascio dei file dei clienti, perché nulla nel processo imponeva un secondo controllo indipendente sull'effettiva persona o ufficio che avanzava la richiesta.
Questo è l'aspetto scomodo con cui ogni azienda regolamentata deve fare i conti: il dominio non era falso. Tutto ciò che un normale controllo a livello di casella di posta avrebbe cercato era presente e corretto. Solo una richiamata a un contatto verificato, usando un numero o un indirizzo ottenuto indipendentemente dall'email stessa, avrebbe individuato l'inganno.
Cosa dovrebbe verificare ora ogni azienda regolamentata
Qualsiasi azienda UE o del Regno Unito che riceve ed evade richieste ufficiali di dati via email, non solo banche e fintech, ha la stessa esposizione che Revolut ha appena dimostrato essere sfruttabile. L'autenticazione del dominio, SPF, DKIM, un blocco firma dall'aspetto corretto, confermano da dove è arrivata un'email. Nulla di tutto ciò conferma che la persona che la invia detenga davvero l'autorità che rivendica, e trattare le due cose come equivalenti è esattamente la falla da cui è passata questa violazione.
La soluzione pratica non è un nuovo software di sicurezza. È una regola scritta secondo cui qualsiasi richiesta di dati dei clienti, per quanto ufficiale possa sembrare, riceve una verifica tramite richiamata a un contatto ottenuto indipendentemente dall'email stessa, lo stesso standard che ai reparti finanziari viene già insegnato di applicare prima di muovere denaro. Ai sensi del GDPR e, dove applicabile, del DORA, questo passaggio di verifica è anche la differenza tra un processo documentato e difendibile e un rapporto sulla violazione che si limita a dire che la richiesta "sembrava legittima."
Da leggere ora: Il fisco francese è esente dalle proprie multe GDPR | La Tua Foto È Rimasta Un Anno Sul Loro Server
