Un gruppo di hacker che rivendica la violazione dei dati di Revolut ha chiesto alla banca online britannica un riscatto di tre milioni di dollari, minacciando di vendere le informazioni riservate di centinaia di clienti ad altre organizzazioni criminali se la somma non sarà pagata entro 24 ore. La richiesta, resa nota dal Financial Times, è stata pubblicata mercoledì pomeriggio, 16 settembre, su un sito web accompagnato da un conto alla rovescia digitale.
Il gruppo, che si fa chiamare «iamnotavillain», ha intimato a Revolut di versare «6.000 Xmr, pari a tre milioni di dollari», altrimenti «tutti i dati saranno venduti e avrete il sangue sulle vostre mani». Xmr è la sigla della criptovaluta Monero, spesso utilizzata negli attacchi informatici perché le sue transazioni sono difficili da tracciare. Secondo quanto dichiarato dagli stessi hacker al quotidiano britannico, è la prima volta che il gruppo utilizza un sito web per presentare le proprie richieste e non sarebbero ancora iniziate trattative con la banca.
La modalità della richiesta è considerata insolita: gli hacker generalmente preferiscono negoziare il riscatto in forma privata e rendere noto l'attacco soltanto se la vittima rifiuta di pagare o di avviare una trattativa, spesso pubblicando i dettagli su un sito del dark web. In questo caso, invece, l'ultimatum è stato diffuso pubblicamente. Il sito era stato creato lunedì sera, con la pubblicazione di immagini oscurate di alcune delle informazioni che il gruppo afferma di aver ottenuto dalla banca. Dopo la diffusione dell'ultimatum, gli hacker hanno inviato al Financial Times un video di 60 secondi nel quale una persona scorre il presunto archivio di documenti sottratti.
Nel filmato apparirebbero patenti, passaporti, fotografie utilizzate nelle procedure di verifica dell'identità dei clienti e cronologie delle transazioni. La violazione avrebbe coinvolto almeno 680 conti. Secondo la ricostruzione, i documenti sarebbero stati ottenuti compromettendo un sistema di posta elettronica del governo italiano, utilizzato per presentarsi come appartenenti alle forze dell'ordine e chiedere per diversi mesi informazioni su specifici clienti di Revolut. Il gruppo ha affermato di aver selezionato gli obiettivi attraverso l'analisi della blockchain, individuando i conti con ingenti disponibilità in criptovalute.
La vicenda mette in luce i rischi legati alla protezione dei dati personali e finanziari nel settore dei servizi bancari digitali, dove la verifica dell'identità dei clienti richiede la raccolta di documenti sensibili. L'uso di un sistema di posta elettronica istituzionale per ottenere informazioni riservate rappresenta un elemento di particolare gravità, perché sfrutta la fiducia riposta nelle comunicazioni ufficiali. Al momento non risultano conferme indipendenti sulla portata effettiva della violazione né sulla sua attribuzione.
