Violazioni · 2 ore fa

Un dominio governativo reale basta ancora a far uscire i dati

Revolut ha confermato il 12 settembre una disclosure limitata: un terzo non autorizzato ha usato un indirizzo su un dominio governativo legittimo per ottenere dati di clienti ad alto profilo, invece di colpire i sistemi di pagamento. Il punto debole non è stato il core banking. È stato il flusso di gestione delle richieste, che ha trattato come autentica una comunicazione proveniente da un dominio reale.

In pratica, il controllo si è fermato all’apparenza del mittente. Da lì sono usciti documenti d’identità, selfie di verifica, indirizzi, numeri di telefono e dettagli finanziari; in alcuni casi anche cronologia transazioni, prelievi e riferimenti legati a Bitcoin. Questo sposta il danno oltre il normale leak di PII: i dati bastano per impersonazione, estorsione e per collegare wallet e identità.

Per chi gestisce richieste di autorità, regolatori o emergenze via email, la lezione resta aperta: un dominio credibile non rende credibile la richiesta. Quando il punto di fiducia è nel workflow, non nell’endpoint, l’esposizione può nascere anche senza compromettere l’infrastruttura principale.

Cronologia

Fonti

5 fonti che coprono questa storia

Part of the PlainSec briefing for 2026-09-14

Editions

Storie correlate