In questo articolo Indice dei contenuti 3 sezioni
Il caso Revolut ha spinto il Garante della privacy a muoversi in fretta, con una verifica immediata partita subito dopo la divulgazione involontaria dei dati di circa 700 clienti della banca digitale. L’Autorità non si è limitata a guardare al singolo episodio, ma ha chiesto a tutti gli istituti bancari italiani di passare al setaccio i propri sistemi, alla ricerca di eventuali falle dello stesso tipo. In parallelo è stato attivato un canale di confronto con l’omologa lituana, dato che è in Lituania la sede legale della società.
La dinamica, ormai ricostruita, racconta di un attacco tanto semplice quanto efficace. Il gruppo IAmNotVillain ha sfruttato l’indirizzo PEC della Procura di Reggio Calabria per inoltrare a Revolut una richiesta di dati relativi a 680 clienti. Una richiesta che, formalmente, arrivava da un mittente istituzionale del tutto legittimo.
Come è nata la richiesta arrivata dalla PEC della Procura
L’accesso alla casella di posta elettronica certificata sarebbe avvenuto tramite un infostealer, il tipo di malware che ruba credenziali dai dispositivi infetti, con il probabile contributo di un dipendente distratto. Una volta ottenuti i dati, i cybercriminali hanno chiesto un riscatto di circa 2,6 milioni di euro in criptovalute, con scadenza fissata alle 18:30 del 17 settembre, minacciando in caso contrario la pubblicazione o la vendita delle informazioni.
Il punto che ha fatto scattare l’allarme è proprio questo: la PEC utilizzata era autentica, non contraffatta, e oggi risulta non più funzionante. Difficile quindi immaginare che il destinatario di turno potesse insospettirsi. Da qui la scelta del Garante per la protezione dei dati personali di allargare il campo e capire se siano avvenuti episodi analoghi presso altri operatori, magari passati inosservati.
Il messaggio alle banche italiane e alla rete dei DPO
Dagli uffici dell’Autorità è partita una comunicazione diretta alla rete dei responsabili della protezione dei dati, i cosiddetti DPO, con l’invito a procedere a una verifica interna rapida sui propri sistemi. Nel caso emergessero falle accertate, la richiesta è di contattare immediatamente il Garante, senza attendere sviluppi ulteriori.
In termini pratici, ogni banca italiana è chiamata a controllare se nei propri archivi risultino comunicazioni ricevute da quello stesso indirizzo PEC. Un lavoro di scavo che serve a escludere, o eventualmente a quantificare, la portata reale dell’operazione messa a segno dal gruppo. Perché se il metodo ha funzionato una volta, nulla vieta che sia stato replicato altrove. Il confronto con l’autorità lituana risponde a una logica simile. Trattandosi di una realtà con sede legale a Vilnius, lo scambio di informazioni tra i due organismi è utile a rafforzare l’azione di contrasto e a evitare sovrapposizioni o vuoti di competenza nella gestione del caso.
Il coinvolgimento del Ministero dell’Interno
Come indicato nel comunicato dell’Autorità, il Garante si è mosso anche sul fronte del Ministero dell’Interno. Un passaggio che lascia intendere una richiesta di verifica su possibili altri abusi di caselle PEC istituzionali, considerando che il vero punto debole della vicenda è stato l’utilizzo di un canale certificato e riconosciuto come affidabile.
Sul tema il Viminale, nel fine settimana, ha smentito il furto di 147 GB di dati che era stato attribuito ai propri sistemi. Una precisazione arrivata mentre la ricostruzione della vicenda Revolut era ancora in corso e le informazioni circolavano in modo confuso.
Fonte: TecnoAndroid
