Il sito di estorsione della violazione dei dati di Revolut smascherato dai ricercatori

Le conseguenze della violazione dei dati di Revolut hanno preso una nuova piega dopo che la società di threat intelligence KELA ha pubblicato una ricerca che rintraccia il sito di estorsione utilizzato per fare pressione sulla società fintech affinché pagasse gli attaccanti. Secondo le scoperte di KELA, il sito era ospitato su infrastrutture pubbliche gratuite e assemblato in appena 6,5 ore. Ancora più notevole: i file che gli attaccanti pensavano di aver eliminato erano ancora recuperabili attraverso la cronologia pubblica dei commit del sito, un dettaglio che offre a difensori e ricercatori uno sguardo raro nei meccanismi di una moderna campagna di estorsione.

Questa scoperta è importante perché dimostra che i criminali dietro l'incidente di Revolut non hanno costruito un'operazione sofisticata e blindata. Si sono invece affidati a strumenti rapidi e gratuiti, e così facendo hanno lasciato una scia che i ricercatori hanno potuto seguire. Per una violazione che ha già attirato l'attenzione per come gli attaccanti hanno ottenuto i dati dei clienti in primo luogo, questo secondo capitolo offre una finestra su quanto possa essere improvvisata ed esposta l'infrastruttura di estorsione.

Come è stato costruito e rintracciato il sito di estorsione

L'analisi di KELA ha rilevato che la pagina di estorsione non si trovava su server personalizzati o su infrastrutture specializzate del dark web. Girava su un servizio di hosting gratuito e pubblicamente accessibile, del tipo a cui chiunque può registrarsi in pochi minuti. La velocità di distribuzione, appena 6,5 ore dall'inizio alla fine, suggerisce che gli attaccanti hanno dato priorità al fare pressione rapidamente su Revolut piuttosto che al coprire con cura le proprie tracce.

Quella fretta ha creato un'apertura. Poiché il sito si basava su una cronologia pubblica dei commit (il registro delle modifiche apportate al codice o ai contenuti sottostanti del sito), i ricercatori sono stati in grado di esaminare versioni precedenti della pagina che gli attaccanti avevano cercato di rimuovere. I file eliminati dal sito live non erano in realtà scomparsi; rimanevano visibili nei registri della cronologia, offrendo a KELA una panoramica di come si è evoluta la pagina di estorsione e quali contenuti gli attaccanti avevano originariamente incluso prima di ripulirli.

Questo tipo di fallimento della sicurezza operativa non è insolito nel cybercrime. Costruire infrastrutture rapidamente ed economicamente è spesso la priorità per i gruppi di estorsione che cercano di colpire mentre una violazione è ancora una notizia fresca, ma quella velocità comporta frequentemente il costo di lasciare impronte digitali dietro di sé.

Collegare il sito di estorsione alla violazione originale

Il sito di estorsione non è apparso dal nulla. È seguito alla divulgazione da parte di Revolut che dati sensibili dei clienti erano stati esposti dopo che la società è stata ingannata da una falsa richiesta governativa, che ha comportato la consegna di passaporti e informazioni personali a una terza parte non autorizzata. Quell'incidente precedente ha preparato il terreno per il tentativo di estorsione: una volta che gli attaccanti avevano in mano i dati dei clienti, si sono mossi per costruire un sito di pressione volto a costringere Revolut a pagare.

Questa sequenza, un trucco di social engineering seguito dall'esposizione dei dati e poi dall'estorsione, riflette un modello comune nel cybercrime a movente finanziario. Gli attaccanti raramente hanno bisogno di strumenti altamente avanzati per avere successo. Una falsa richiesta convincente è stata sufficiente per far rilasciare dati sensibili, e qualche ora su hosting gratuito è stata sufficiente per lanciare successivamente una campagna di pressione pubblica.

Cosa significa per te

Se sei un cliente Revolut, il rischio pratico da questo specifico sito di estorsione riguarda meno i dettagli dell'hosting e più quali dati potrebbero essere stati inclusi in esso. Le pagine di estorsione legate a violazioni come questa spesso fanno riferimento o mostrano in anteprima informazioni rubate, inclusi numeri di passaporto e dettagli dell'account, come leva. Il fatto che i ricercatori abbiano potuto recuperare file eliminati dalla cronologia del sito significa anche che i contenuti che gli attaccanti hanno cercato di nascondere, potenzialmente inclusi campioni dei dati trapelati, potrebbero essere ancora documentati e analizzati dai ricercatori di sicurezza.

Per gli utenti comuni, questo rafforza una lezione più ampia sulla violazione dei dati di Revolut: il compromesso iniziale non è avvenuto attraverso un hack tecnico dei sistemi di Revolut, ma attraverso l'inganno. Ciò significa che i soliti consigli su monitorare i tuoi account, prestare attenzione ai tentativi di phishing che fanno riferimento a questa violazione e essere cauti riguardo a richieste non sollecitate di informazioni personali sono particolarmente rilevanti in questo momento. Gli attaccanti che sono riusciti a impersonare le autorità una volta potrebbero provare tattiche simili di nuovo, sia contro Revolut che contro i suoi clienti direttamente.

Azioni concrete da intraprendere

Se usi Revolut o sei stato colpito da questa violazione, considera i seguenti passaggi:

  • Monitora attentamente il tuo account Revolut e i conti bancari collegati per qualsiasi attività insolita nelle prossime settimane.
  • Sii scettico riguardo a qualsiasi comunicazione, specialmente messaggi dall'aria urgente, che affermi di provenire da Revolut, agenzie governative o forze dell'ordine in riferimento a questo incidente.
  • Se il tuo passaporto o i tuoi documenti d'identità sono stati parte dei dati esposti nella divulgazione precedente, considera di monitorare il furto d'identità e sii cauto nel condividere copie di documenti d'identità se non assolutamente necessario.
  • Segui gli aggiornamenti direttamente da Revolut piuttosto che affidarti a link o file diffusi in relazione al sito di estorsione, poiché i ricercatori hanno dimostrato che i contenuti su questi siti possono essere manipolati e riapparire anche dopo essere stati eliminati.

La violazione dei dati di Revolut e il suo seguito di estorsione mostrano che anche gli attaccanti con operazioni criminali funzionanti possono commettere errori basilari che i ricercatori possono sfruttare. Per i clienti, rimanere vigili e cauti resta la migliore difesa mentre il quadro completo di questo incidente continua a delinearsi.