È uno dei casi di data breach più interessanti delle ultime ore per chi si occupa di privacy e cybersecurity. Revolut ha confermato di essere stata vittima di una sofisticata campagna di scam nella quale una falsa richiesta governativa è stata ritenuta autentica. Il messaggio proveniva da un account non autorizzato, ma utilizzava un dominio email reale di un’agenzia governativa – elemento che avrebbe contribuito a convincere la società della legittimità della richiesta.
Il risultato è particolarmente grave: secondo la ricostruzione pubblicata da Federprivacy sulla base delle informazioni diffuse dalla società e da Reuters, sarebbero stati trasmessi dati personali e finanziari di un numero limitato di clienti. Tra le informazioni esposte figurano nome, cognome, data di nascita, occupazione, indirizzo, email, numero di telefono, documenti d’identità, selfie utilizzati per la verifica dell’identità, IBAN, estratti conto e cronologia delle transazioni, comprese quelle in Bitcoin.
La parte più sorprendente è la durata dell’operazione: secondo la ricostruzione, la truffa sarebbe proseguita per circa cinque mesi, attraverso richieste distribuite nel tempo, prima di essere scoperta.
La vicenda interessa direttamente anche gli studi legali. Non basta infatti che un messaggio arrivi da un dominio apparentemente autentico per poterlo considerare affidabile: il caso mostra quanto sia diventata delicata la verifica dell’identità digitale del mittente, soprattutto quando la richiesta riguarda documenti, dati bancari o informazioni personali. C’è un dettaglio particolarmente rilevante per il mondo forense: secondo la ricostruzione, in almeno uno degli episodi sarebbe stata utilizzata anche una PEC italiana, elemento che avrebbe contribuito a rendere credibile la comunicazione.
Per avvocati, DPO e responsabili IT la lezione è concreta: autenticità del dominio e autenticità del mittente non sono necessariamente la stessa cosa. In un’epoca nella quale phishing e social engineering sfruttano sempre più elementi reali per costruire richieste false, la procedura di verifica diventa parte integrante della sicurezza dei dati.
Articoli simili
Otto mesi di sospensione all’avvocato che non paga la segretaria
Ventuno mensilità arretrate, tre accordi di rientro disattesi e contabili di bonifici mai eseguiti: per le Sezioni Unite l'inadempimento verso il dipendente lede l'affidamento dei…
“Puoi farmi un bonifico?”: la nuova truffa WhatsApp che sfrutta i contatti fidati
Richieste di bonifici e pagamenti arrivano da account WhatsApp di persone conosciute: la Polizia Postale mette in guardia dai nuovi raggiri che sfruttano i dispositivi…
Via libera del Consiglio dei ministri al decreto che completa l'ordinamento della magistratura tributaria professionale e all'esame preliminare della riforma della Corte dei conti. Nuove…
