Accertamenti dopo la truffa dei dati di 680 clienti: accertamenti per capire se la violazione sia riferita a una Pec della Prefettura dello Stretto o del Viminale. Verifiche in corso sull’attacco e sul materiale sottratto alle forze dell’ordine
Tutti gli articoli di Cronaca
PHOTO
Rawpixel Ltd.
La truffa è partita da una casella PEC riconducibile alla Prefettura di Reggio Calabria, utilizzata per fingersi la Polizia postale e ottenere da Revolut informazioni riservate su circa 680 clienti. Ora il gruppo hacker sostiene di avere anche documenti interni delle forze dell’ordine: una circostanza ancora da verificare. La Procura reggina indaga sull’accesso abusivo al sistema informatico, mentre la Direzione nazionale antimafia e antiterrorismo ha acceso un faro sulla vicenda.
La Pec della Prefettura di Reggio Calabria usata per ingannare Revolut
Il caso Revolut assume contorni sempre più delicati e porta direttamente a Reggio Calabria. Al centro dell’inchiesta c’è una casella di posta elettronica certificata riconducibile alla Prefettura reggina (ma gli investigatori non escludono che l’account violato possa appartenere al Viminale, ndr), che sarebbe stata compromessa e utilizzata da un gruppo di criminali informatici per fingersi appartenenti alla Polizia postale.
La tecnica avrebbe consentito agli hacker di superare uno dei principali ostacoli nelle frodi online: la credibilità del mittente. Le richieste inviate alla fintech britannica sembravano infatti provenire da un indirizzo istituzionale legato al dominio del ministero dell’Interno. Secondo le prime ricostruzioni, i criminali non si sarebbero limitati a falsificare un indirizzo, ma avrebbero avuto accesso alla casella reale.
Da quella casella sarebbero partite richieste di informazioni su clienti Revolut, presentate come attività investigative delle forze dell’ordine italiane.
La società, ritenendo autentiche le comunicazioni, avrebbe trasmesso dati estremamente sensibili: documenti di identità, selfie utilizzati per la verifica, informazioni bancarie, Iban, estratti conto e cronologia delle transazioni, comprese quelle legate alle criptovalute. Il Financial Times stima in circa 680 i clienti coinvolti.
Un'operazione durata mesi
La ricostruzione degli investigatori dovrà chiarire soprattutto come sia stato possibile prendere il controllo della casella istituzionale e per quanto tempo gli autori abbiano potuto utilizzarla.
Secondo quanto raccontato dagli stessi hacker al Financial Times, l'operazione sarebbe andata avanti per diversi mesi. Il gruppo, che si presenta con il nome «I Am Not A Villain» o «iamnotavillain», avrebbe inviato ripetutamente richieste a Revolut fingendosi un'autorità italiana. Gli autori hanno mostrato al quotidiano britannico screenshot e materiale a sostegno della propria versione, ma le loro ulteriori rivendicazioni restano da verificare.
Il meccanismo è particolarmente insidioso perché non avrebbe richiesto una violazione diretta dei sistemi informatici di Revolut. La fintech avrebbe invece ricevuto richieste apparentemente legittime da un account istituzionale compromesso e, sulla base di quelle comunicazioni, avrebbe consegnato le informazioni richieste.
È proprio questo aspetto a rendere la vicenda diversa da un tradizionale attacco ai server di una banca digitale.
Gli hacker: «Abbiamo anche i dati della polizia italiana»
Ma nelle ultime ore è comparso un ulteriore elemento, ancora più delicato.
Il gruppo criminale sostiene di aver compromesso anche sistemi riconducibili alle forze dell'ordine italiane e afferma di essere in possesso di 147 gigabyte di dati. Secondo la rivendicazione, tra il materiale ci sarebbero documenti interni, comunicazioni e chat di agenti.
Al momento non è possibile considerare verificata la reale consistenza di questo archivio né stabilire se i dati provengano effettivamente da sistemi della Polizia o di altri apparati dello Stato.
Per questo gli investigatori stanno effettuando accertamenti specifici. L'obiettivo è capire se dietro la rivendicazione ci sia un ulteriore attacco informatico oppure se gli hacker stiano utilizzando materiale ottenuto attraverso la compromissione della casella Pec della Prefettura.
Resta inoltre da verificare l'eventuale presenza di dati delle forze dell'ordine nei circuiti clandestini della rete. Gli investigatori stanno monitorando anche il dark web per individuare eventuali tentativi di vendita o diffusione delle informazioni sottratte.
La Procura di Reggio Calabria apre un'inchiesta
A Reggio Calabria è stata aperta un'inchiesta dopo la prima informativa trasmessa dalla Polizia postale. Sul tavolo dei magistrati c'è l'ipotesi di un accesso abusivo a un sistema informatico di interesse pubblico.
Gli accertamenti dovranno stabilire innanzitutto se sia stato effettivamente violato un computer della Prefettura o se l'attacco abbia riguardato altri sistemi collegati al ministero dell'Interno. Un'altra questione centrale riguarda la natura dell'intrusione: gli esperti devono capire se la Pec sia stata realmente compromessa oppure se sia stata utilizzata una tecnica di clonazione o manipolazione dell'identità digitale.
Sul caso è stata inoltre attivata l'attenzione della Procura nazionale antimafia e antiterrorismo, considerato il coinvolgimento di un ente governativo.
Revolut: «I sistemi e i fondi dei clienti non sono stati toccati»
Revolut ha precisato che l'episodio non ha comportato una violazione dei propri sistemi interni né l'accesso ai fondi dei clienti. La società ha descritto quanto accaduto come una sofisticata frode basata sull'impersonificazione di un'autorità pubblica.
Il punto centrale, dunque, non sarebbe un accesso ai conti attraverso un attacco diretto alla piattaforma, ma l'acquisizione fraudolenta di dati personali attraverso richieste apparentemente provenienti dalle autorità.
La vicenda avrebbe riguardato soprattutto clienti considerati di particolare interesse dagli autori della truffa, compresi titolari di consistenti disponibilità in criptovalute. Il Financial Times riferisce che Revolut ha informato i clienti coinvolti.
Nel frattempo, secondo quanto riportato dal Financial Times e da Reuters, gli hacker hanno anche avanzato una richiesta di riscatto, minacciando di mettere in vendita o diffondere i dati sottratti.
Il Garante Privacy verifica la sicurezza delle banche italiane
L'effetto della vicenda va però oltre Revolut e la singola casella Pec compromessa.
Il Garante per la protezione dei dati personali ha avviato verifiche sui sistemi utilizzati dagli istituti bancari italiani per gestire le richieste di accesso alle informazioni dei clienti. Agli organismi responsabili della protezione dei dati delle banche è stato chiesto di effettuare controlli tempestivi sui propri sistemi e di segnalare eventuali vulnerabilità.
L'Autorità italiana ha inoltre avviato un confronto con l'omologa lituana, Paese nel quale Revolut ha la propria sede legale principale, con l'obiettivo di condividere le informazioni disponibili e coordinare le attività di verifica.
Gli accertamenti dovranno chiarire anche se il caso rappresenti un episodio isolato oppure se la stessa tecnica sia stata utilizzata per colpire altri istituti finanziari.