In questo articolo Indice dei contenuti 2 sezioni
Il data breach di Revolut ha assunto contorni ben più ampi di quelli emersi nelle prime ricostruzioni, e adesso tocca direttamente l’Italia. Nelle ultime ore sono arrivati dettagli nuovi sull’attacco informatico che ha colpito la società, e il quadro che ne esce è parecchio diverso da quello iniziale. Non si tratta soltanto di un pugno di clienti facoltosi finiti nel mirino, ma di una catena di accessi che parte da un indirizzo di posta elettronica certificata appartenente alle forze dell’ordine italiane.
Il punto di partenza era stato raccontato dalla stessa Revolut, che aveva ammesso di aver risposto a una richiesta apparentemente ufficiale riguardante i dati di un gruppo ristretto di utenti. Una richiesta che sembrava provenire da un organismo investigativo autorizzato e che, sulla carta, aveva tutte le credenziali per essere presa sul serio. Il gruppo che rivendica l’operazione, attraverso un sito messo online appositamente, ha poi spiegato come sarebbero andate davvero le cose: a fare da grimaldello è stata una PEC con un indirizzo del tutto legittimo, riconducibile alle forze dell’ordine italiane.
Cosa è finito nelle mani degli hacker
Convinta di dialogare con un ente autorizzato, la società ha trasmesso documentazione e informazioni riservate. Non dati generici, ma materiale sensibile e in molti casi estremamente personale: nomi, cognomi, date di nascita, indirizzi, numeri di telefono, documenti di identità, coordinate bancarie, estratti conto, cronologia delle transazioni e informazioni relative alle attività in criptovalute. Tutto finito nella disponibilità del gruppo che si firma IAmNotVillain.
Qui sta il nodo più scomodo. Una PEC, va ricordato, ha valore legale equivalente a una raccomandata cartacea. Non è una semplice casella di posta, è uno strumento su cui si regge una fetta importante della comunicazione istituzionale nel Paese. Il fatto che qualcuno sia riuscito a metterci le mani sopra apre inevitabilmente una domanda: cos’altro è stato fatto con quell’accesso, oltre a ingannare una società finanziaria? E in effetti qualcosa in più c’è.
Non solo Revolut, compromessi anche uffici istituzionali
Gli autori dell’attacco sostengono di avere in mano una mole di informazioni molto più consistente rispetto a quanto emerso finora in pubblico, raccolta pazientemente nel corso di mesi. E la parte più delicata non riguarda i clienti della banca, ma proprio le forze dell’ordine. Secondo la loro ricostruzione sarebbero stati compromessi account e infrastrutture appartenenti a diversi uffici istituzionali, con la possibilità di arrivare a documenti, calendari, comunicazioni interne, chat private personali e altro materiale riservato.
Il salto di scala è evidente. Un conto è una richiesta fraudolenta inviata a un istituto finanziario, un altro è la presenza prolungata dentro sistemi che gestiscono attività investigative e corrispondenza ufficiale. La violazione di una PEC, proprio perché parliamo di uno strumento che nell’ordinamento italiano fa fede come documento legale, solleva interrogativi che vanno oltre il singolo episodio e arrivano all’affidabilità complessiva del sistema e dei protocolli che lo governano.
Resta il fatto che l’intera operazione si è retta su un meccanismo tutto sommato semplice nella sua logica: sfruttare la fiducia riposta in un canale considerato sicuro per ottenere dati che nessuno avrebbe mai consegnato spontaneamente. Revolut, dal canto suo, aveva parlato di una richiesta ricevuta da quella che sembrava a tutti gli effetti un’agenzia autorizzata alla raccolta di dati, limitata a un piccolo gruppo di utenti con patrimoni elevati. La versione degli hacker racconta invece di un accesso ben più esteso e costruito nel tempo, con il data breach ai danni della società che rappresenta soltanto la parte più visibile di una raccolta di informazioni andata avanti per mesi.
