Revolut non è stata bucata. I dati sono usciti dalla porta principale, con una richiesta che aveva superato i controlli.
Nessuno ha forzato nulla Le quattro schede con cui lo abbiamo raccontato su LinkedIn. Scorri per vedere tutte le 4 pagine.
Come è andata
Qualcuno ha inviato richieste di informazioni da un indirizzo su un dominio di un ente governativo reale. Non un dominio somigliante: quello vero. La richiesta è passata, i dati sono stati consegnati. Solo ricontattando l’ente l’azienda ha scoperto che da lì non era mai partita.
Fuori sono andati nomi, date di nascita, indirizzi, copie di passaporti e patenti, il selfie di verifica dell’onboarding, IBAN, estratti conto e cronologie complete di transazioni, incluse quelle in Bitcoin.
L’ICO britannico sta valutando la segnalazione ricevuta, la FCA è in contatto con l’azienda, e il gruppo minaccia di pubblicare altri dati ogni giorno.
Il controllo mancante non era tecnico
I sistemi non sono stati compromessi e i fondi non sono stati toccati. La domanda a cui si è risposto era se il dominio fosse autentico. Quella che nessuno ha fatto era se l’ente avesse davvero scritto.
Lo stesso schema, in aziende molto più piccole
Arriva ogni settimana: l’ente che chiede dati, il fornitore che comunica un IBAN nuovo, il responsabile che scrive da un indirizzo quasi identico.
L’unica cosa che regge è una procedura scritta
- Chi può rilasciare dati
- Quali richieste vanno confermate su un canale diverso dalla mail
- Chi la conosce, oltre a chi l’ha scritta
In sintesi. Se domani arriva una richiesta di dati da un ente, nella vostra azienda chi la evade e con quale verifica? Se la risposta dipende da chi apre la mail, il perimetro è quello.
Trasformare un’abitudine in una procedura scritta, che tutti conoscono e che si verifica, è il cuore del nostro metodo.
Questo articolo nasce da un post pubblicato su LinkedIn.
