Ci sono attacchi informatici nei quali un criminale deve riuscire a superare firewall, sistemi di autenticazione e sofisticate protezioni digitali. E poi ci sono casi come quello che sta coinvolgendo Revolut, dove la parte più inquietante della vicenda sembra essere stata proprio la capacità di convincere un sistema a fidarsi della richiesta sbagliata.
La banca digitale britannica è finita al centro di una grave vicenda di sottrazione di dati che coinvolge circa 680 clienti e che, secondo le ricostruzioni investigative, sarebbe stata resa possibile dall'utilizzo fraudolento di una comunicazione proveniente da una casella PEC istituzionale italiana.
Il caso è diventato ancora più delicato nelle ultime ore perché il gruppo di hacker che rivendica l'operazione, identificato con il nome IAmNotAVillain, sostiene di avere anche ottenuto una grande quantità di materiale appartenente a sistemi delle forze dell'ordine italiane.
Questa seconda parte, però, va trattata con prudenza: la disponibilità dei 147 GB di dati della Polizia è al momento una rivendicazione degli attaccanti e non un fatto definitivamente accertato.
Nel frattempo è arrivata anche la richiesta di un riscatto da 3 milioni di dollari in criptovalute, accompagnata dalla minaccia di vendere o diffondere i dati sottratti.
È una storia che mette insieme banche digitali, PEC, impersonificazione, dati finanziari, criptovalute, Pubblica amministrazione e ricatto informatico. E soprattutto solleva una domanda che va ben oltre Revolut: quanto è sicuro un sistema quando il problema non è dimostrare di essere chi si è, ma convincere qualcuno di essere un'autorità legittima?
Come è cominciata la vicenda Revolut
Il primo elemento da chiarire è che la vicenda non nasce, almeno secondo le informazioni disponibili, da un attacco tradizionale ai server di Revolut.
La società ha confermato che soggetti non autorizzati sono riusciti a ottenere informazioni sensibili attraverso richieste fraudolente che apparivano provenire da un dominio governativo legittimo. Gli aggressori si sarebbero presentati come autorità investigative italiane e avrebbero utilizzato una casella di posta elettronica certificata precedentemente compromessa.
Questo dettaglio cambia completamente la lettura dell'episodio.
Non si sarebbe trattato semplicemente di entrare nei sistemi di una banca digitale e copiare un database. Il meccanismo avrebbe sfruttato la fiducia riposta da un'azienda in una comunicazione apparentemente ufficiale.
Secondo le ricostruzioni pubblicate da Sky TG24, le richieste avrebbero avuto l'aspetto di comunicazioni provenienti da un'autorità italiana e sarebbero state utilizzate per ottenere informazioni come documenti d'identità, indirizzi, dati dei conti e movimenti finanziari.
È proprio questo l'aspetto che rende il caso particolarmente interessante dal punto di vista della cybersecurity.
La PEC della Prefettura di Reggio Calabria
Il nome che ricorre nelle indagini italiane è quello della Prefettura di Reggio Calabria.
La Procura della Repubblica di Reggio Calabria ha aperto un'inchiesta ipotizzando l'intrusione in un sistema informatico di pubblico interesse. Gli investigatori stanno cercando di capire come sia stato possibile utilizzare la casella istituzionale e, soprattutto, se sia stato effettivamente compromesso un computer della Prefettura oppure del Viminale.
Su questo punto è fondamentale non anticipare conclusioni.
Non è ancora possibile affermare che sia stato violato direttamente il sistema informatico della Prefettura o del Ministero dell'Interno. Quello che risulta dalle indagini è che una comunicazione istituzionale riconducibile alla Prefettura è stata utilizzata per ottenere dati da Revolut.
ANSA ha riferito che la Polizia Postale ha trasmesso una prima informativa alla Procura e che l'ipotesi di reato riguarda l'accesso abusivo a un sistema informatico di pubblico interesse.
È una distinzione tecnica ma fondamentale.
Una cosa è dire che una casella PEC istituzionale è stata compromessa o utilizzata abusivamente. Un'altra è sostenere che sia stato violato l'intero sistema informatico di un ministero o di una prefettura.
Le indagini dovranno stabilire esattamente cosa sia accaduto.
Il falso ordine di indagine e i dati di 680 clienti
Il secondo passaggio della storia è quello che riguarda direttamente Revolut.
Gli hacker avrebbero utilizzato la comunicazione proveniente dall'indirizzo istituzionale per presentarsi come investigatori e richiedere informazioni relative a clienti della piattaforma.
Secondo le ricostruzioni pubblicate nelle ultime ore, il materiale ottenuto riguarda circa 680 clienti europei.
Tra le informazioni coinvolte vengono indicati dati personali, documenti d'identità, fotografie utilizzate per la verifica dell'identità, indirizzi, informazioni sugli account e dettagli relativi alle transazioni, comprese quelle legate alle criptovalute.
Il punto fondamentale, però, riguarda ciò che non risulta essere stato compromesso.
Revolut ha dichiarato che i fondi dei clienti non sono stati toccati e i sistemi della società non sono stati direttamente violati. Il problema è quindi principalmente legato ai dati personali e finanziari che la società avrebbe consegnato a soggetti non autorizzati dopo avere ricevuto richieste fraudolente.
Questo non significa che la vicenda sia innocua per le persone coinvolte.
Anzi.
Perché i dati rubati possono essere molto pericolosi
Un documento d'identità, un indirizzo, una fotografia utilizzata per la verifica, informazioni sul conto e una cronologia delle transazioni possono diventare strumenti estremamente utili per un criminale.
Il primo rischio è il furto d'identità.
Il secondo è rappresentato dal phishing mirato.
Conoscere informazioni precise su una persona permette infatti di costruire messaggi molto più convincenti rispetto alle classiche email generiche che ormai quasi tutti impariamo a riconoscere.
Immaginiamo, per esempio, che un criminale sappia il nome del cliente, il suo indirizzo, alcune informazioni sul conto e persino il tipo di operazioni effettuate. Una telefonata nella quale il truffatore si presenta come operatore della banca potrebbe diventare molto più credibile.
Potrebbe conoscere dettagli reali e utilizzarli per ottenere la parte che ancora manca: una password, un codice, un'autorizzazione o un trasferimento di denaro.
È per questo che la questione non riguarda soltanto ciò che è stato già sottratto, ma anche come quei dati potrebbero essere utilizzati nei prossimi mesi.
Il ricatto da 3 milioni di dollari
La vicenda ha assunto una dimensione ancora più grave quando il gruppo che rivendica l'attacco ha trasformato la sottrazione dei dati in una richiesta di riscatto.
La cifra indicata è di 3 milioni di dollari in criptovalute.
Secondo Il Post, gli hacker avrebbero dato a Revolut 24 ore di tempo a partire dalle 18:30 del 16 settembre per pagare, minacciando in caso contrario di rivendere i dati sul dark web. La richiesta è stata accompagnata da un conto alla rovescia pubblicato dagli attaccanti.
Ma anche qui esiste una precisazione importante: Revolut ha dichiarato di non avere ricevuto direttamente una richiesta di riscatto dagli autori della violazione. La minaccia è stata pubblicata attraverso i canali utilizzati dal gruppo che rivendica l'attacco.
Quindi, al momento, non è corretto scrivere che Revolut abbia ricevuto formalmente una richiesta di pagamento direttamente dagli hacker come se fosse già avvenuto un contatto negoziale.
È più corretto parlare di richiesta pubblica di riscatto attribuita al gruppo che rivendica l'attacco.
I 147 GB della Polizia italiana: cosa sappiamo davvero
È probabilmente il capitolo più delicato dell'intera storia.
Il gruppo IAmNotAVillain sostiene di essere entrato anche in sistemi appartenenti alle forze dell'ordine italiane e di avere raccolto circa 147 gigabyte di dati, comprendenti secondo la loro versione documenti interni e conversazioni di agenti.
La notizia è stata riportata da ANSA sulla base della rivendicazione degli hacker e delle informazioni raccolte dal Financial Times.
Ma ANSA sottolinea anche che sono in corso verifiche per stabilire se la rivendicazione sia autentica.
Questo è un punto che non va assolutamente perso in un articolo sulla vicenda.
147 GB non significa, oggi, “147 GB di dati della Polizia italiana sicuramente rubati”.
Significa che un gruppo che rivendica l'operazione afferma di essere in possesso di quella quantità di materiale.
La differenza è sostanziale.
Se le autorità dovessero confermare l'accesso, la vicenda assumerebbe una dimensione ancora più seria, perché non riguarderebbe più soltanto la sicurezza di una società privata e dei suoi clienti, ma anche la protezione delle comunicazioni e dei documenti di apparati pubblici.
Al momento, però, è necessario aspettare gli accertamenti.
AgID: la PEC deve evolvere
Il caso ha riaperto anche una discussione sulla sicurezza della posta elettronica certificata.
L'Agenzia per l'Italia Digitale ha spiegato che negli ultimi mesi è stato rilevato un aumento delle compromissioni e dell'utilizzo illecito delle PEC.
La direttrice di AgID Chiara Giacomantonio ha inoltre spiegato che è in corso il lavoro verso la PEC Qualificata, la cosiddetta PEC Q, che dovrebbe introdurre ulteriori elementi di sicurezza e allinearsi al quadro europeo eIDAS.
Il messaggio che emerge è piuttosto semplice: la PEC rimane uno strumento fondamentale, ma nessun sistema digitale può essere considerato statico o definitivamente sicuro.
Le minacce cambiano e devono cambiare anche le difese.
Il caso Revolut dimostra inoltre che la sicurezza non può essere considerata soltanto una questione tecnica. Anche le procedure interne, la formazione del personale e la capacità di verificare una richiesta apparentemente legittima diventano elementi fondamentali.
Il Garante Privacy accende un faro sulle banche
La vicenda non è rimasta confinata a Revolut.
Il Garante per la protezione dei dati personali ha avviato una verifica sulle eventuali vulnerabilità dei sistemi utilizzati dagli istituti bancari per gestire richieste di accesso ai dati provenienti dalle autorità.
L'obiettivo è capire se il meccanismo utilizzato nel caso Revolut possa essere replicato anche altrove.
È un passaggio importante perché il problema sollevato dall'incidente non riguarda soltanto una singola azienda.
Se una richiesta fraudolenta può sembrare autentica perché proviene da un canale istituzionale compromesso, allora la questione riguarda potenzialmente l'intera catena di comunicazione tra Pubblica amministrazione, forze dell'ordine e aziende private.
ANSA riferisce inoltre che il Garante italiano ha avviato uno scambio di informazioni con l'autorità omologa lituana, dove Revolut ha la propria sede legale principale, e ha coinvolto il Ministero dell'Interno negli approfondimenti.
Il problema non è soltanto tecnologico
Ed è forse questo il punto più importante dell'intera vicenda.
Quando si parla di hacker, normalmente immaginiamo un attacco tecnico: qualcuno trova una vulnerabilità, supera una protezione e penetra in un sistema.
Nel caso Revolut la dinamica raccontata finora è diversa.
Il sistema sarebbe stato convinto a fidarsi della persona sbagliata.
Ed è una differenza enorme.
La cybersecurity moderna non può limitarsi a proteggere server, applicazioni e database. Deve proteggere anche le procedure attraverso le quali un'azienda decide se una richiesta di informazioni è autentica.
Sky TG24 ha sottolineato proprio questo aspetto: la vicenda apre un interrogativo sulla cybersecurity che riguarda non soltanto la robustezza dei sistemi, ma anche la capacità di verificare chi sta chiedendo informazioni e con quale legittimità.
Una firma digitale, un dominio corretto o una PEC apparentemente autentica possono non essere sufficienti se dietro quella identità c'è qualcuno che ha ottenuto illegalmente il controllo del canale.
Cosa devono fare i clienti Revolut
Per chi utilizza Revolut, la prima cosa da evitare è il panico.
Non risulta che i fondi dei clienti siano stati sottratti attraverso questa violazione e Revolut ha dichiarato che i propri sistemi e i fondi non sono stati compromessi.
Il rischio principale riguarda invece i dati personali e la possibilità che vengano utilizzati per tentativi di frode successivi.
È quindi consigliabile controllare con maggiore attenzione le notifiche e le operazioni sul proprio conto, diffidare di telefonate o messaggi che sembrano provenire da Revolut e non fornire mai password, PIN, codici di autenticazione o autorizzazioni sulla base di una richiesta ricevuta improvvisamente.
Un truffatore che possiede già alcune informazioni personali potrebbe riuscire a rendere molto credibile una conversazione.
Ed è proprio questa la parte più insidiosa.
Se arriva una telefonata nella quale l'interlocutore conosce il tuo nome, il tuo indirizzo e magari anche informazioni relative alle tue operazioni finanziarie, la tentazione di fidarsi può diventare molto più forte.
In caso di comunicazioni sospette, è sempre meglio interrompere il contatto e verificare autonomamente attraverso i canali ufficiali della banca.
Un caso che va oltre Revolut
La vicenda è ancora in evoluzione e probabilmente nelle prossime ore arriveranno nuovi elementi.
Ci sono almeno tre domande alle quali le indagini dovranno dare una risposta.
La prima riguarda come sia stata compromessa o utilizzata la casella PEC istituzionale.
La seconda riguarda quanto materiale sia stato realmente ottenuto dagli aggressori e da quali sistemi.
La terza riguarda come sia stato possibile che richieste apparentemente provenienti da un'autorità italiana venissero considerate sufficientemente autentiche per ottenere dati sensibili di centinaia di clienti.
Sono domande che interessano Revolut, ma non soltanto Revolut.
La vicenda riguarda infatti il modo in cui banche, fintech, forze dell'ordine e Pubblica amministrazione comunicano tra loro in un ambiente nel quale un'identità digitale può essere utilizzata abusivamente senza che, almeno inizialmente, il destinatario se ne accorga.
Ed è proprio per questo che il caso è molto più importante di una semplice storia di hacker e criptovalute.
Una vicenda ancora aperta
Per ora possiamo distinguere abbastanza chiaramente ciò che è noto da ciò che deve ancora essere verificato.
È accertato che Revolut ha subito una divulgazione non autorizzata di dati di circa 680 clienti attraverso richieste fraudolente che apparivano provenire da un'autorità governativa.
È in corso un'indagine italiana sulla casella PEC riconducibile alla Prefettura di Reggio Calabria.
È confermato che i fondi dei clienti non sono stati toccati secondo quanto comunicato da Revolut.
È stata resa pubblica una richiesta di 3 milioni di dollari attribuita agli autori della violazione.
Resta invece da verificare definitivamente la portata dell'accesso ai sistemi italiani e soprattutto la rivendicazione dei 147 GB di dati della Polizia.
Ed è proprio su questo punto che bisogna evitare di correre più velocemente delle indagini.
Perché in una storia di cybersecurity, soprattutto quando sono coinvolti dati personali e istituzioni pubbliche, distinguere un fatto accertato da una dichiarazione di un hacker non è un dettaglio giornalistico.
È parte della notizia stessa.
Fonti principali:
- ANSA — ricostruzione dell'indagine italiana e della rivendicazione dei 147 GB. ANSA — Revolut, gli hacker: “abbiamo i dati della polizia italiana”
- Sky TG24 — dinamica della PEC compromessa e dati dei circa 680 clienti. Sky TG24 — Revolut, hacker hanno agito con una PEC italiana compromessa
- Corriere della Sera — richiesta di riscatto, AgID e prospettiva sulla PEC Q. Corriere — Caso Revolut, conto alla rovescia per il riscatto dell'hacker
