Non hanno violato i sistemi di Revolut. Non hanno forzato server né aggirato sofisticate barriere informatiche. È bastato presentarsi come un’autorità pubblica italiana e utilizzare una Pec autentica. Così un gruppo di criminali informatici è riuscito a ottenere dalla fintech britannica dati personali e finanziari di alcuni suoi clienti.
Revolut ha confermato l’incidente il 12 settembre, definendolo una “sofisticata truffa di impersonificazione esterna” e precisando che sarebbe coinvolto un numero “molto limitato” di persone. Secondo il Financial Times, che cita fonti vicine all’indagine interna, i clienti contattati dall’azienda sarebbero circa 680, dato che la società non ha però confermato ufficialmente. Il 15 settembre anche l’Information Commissioner’s Office britannico ha annunciato l’apertura di un’indagine.
Il punto centrale della vicenda è proprio il sistema utilizzato dagli hacker. La richiesta di informazioni è partita dalla casella Pec di un’amministrazione italiana e - proprio per questo - è apparsa del tutto legittima. Revolut l’ha quindi trattata come una normale richiesta proveniente da un’autorità, fornendo i dati richiesti.
Secondo il consulente informatico forense Paolo Dal Checco, l’attacco rientrerebbe nella categoria “Man in the Mail”. Gli hacker sarebbero riusciti a entrare nella casella Pec dell’istituzione attraverso un infostealer, un software capace di sottrarre credenziali e altre informazioni da un computer infetto. Non avrebbero dunque contraffatto una mail: avrebbero utilizzato direttamente un indirizzo istituzionale realmente esistente.
Il materiale finito nelle loro mani è particolarmente delicato. Secondo quanto riportato dal Financial Times e dalla Reuters, tra i dati figurerebbero informazioni anagrafiche e professionali, indirizzi, numeri di telefono, indirizzi email, copie di documenti, fotografie utilizzate per il riconoscimento facciale, coordinate bancarie, estratti conto e cronologia delle transazioni, comprese quelle in Bitcoin.
Tra le persone coinvolte figurerebbero anche alcuni nomi noti, tra cui il tennista Alexander Shevchenko e Mark Karpeles, ex amministratore delegato della piattaforma di criptovalute Mt. Gox. Anche Marc Zeller ha raccontato pubblicamente su X di aver ricevuto una comunicazione da Revolut relativa all’esposizione dei propri dati.
Resta invece da verificare una parte più ampia della vicenda. Come riporta il Corriere della Sera, il gruppo che si presenta con lo pseudonimo “iamnotavillain” sostiene infatti di essere rimasto a lungo all’interno di sistemi riconducibili alle forze dell’ordine italiane. “Abbiamo registrato oltre 87 mila file, per un valore di 147 GB di documenti, e-mail, file personali”, affermano gli hacker, senza però indicare quale struttura sarebbe stata inizialmente compromessa. Questo, invece, il giudizio sulle difese informatiche delle forze di polizia nostrane: “Conosciamo diverse persone che hanno ottenuto molto facilmente l’accesso alle e-mail delle forze dell’ordine italiane; ogni casella, se attiva, può contenere decine di gigabyte di messaggi, ciascuno con documenti allegati”.
Per quanto concerne le motivazioni, il collettivo ha spiegato che “Revolut ha ricevuto una segnalazione riguardante un database di utenti. L’hanno ignorata, quindi li stiamo smascherando per non aver protetto adeguatamente le informazioni degli utenti e per aver inviato dati da una giurisdizione diversa”. Gli stessi attaccanti sostengono di aver colpito la fintech britannica anche per contestare le procedure Kyc - “Know Your Customer” - attraverso le quali banche e operatori finanziari sono tenuti a verificare l’identità dei clienti. Il Financial Times riferisce inoltre della minaccia di pubblicare i dati ottenuti qualora la società non pagasse un riscatto, ma anche su questo punto il quadro resta ancora poco chiaro. Intanto la Polizia postale sta indagando per accesso abusivo a sistema informatico e frode informatica.
La vicenda è intanto destinata ad arrivare in Parlamento. La deputata di Azione Giulia Pastorella ha annunciato un’interrogazione urgente: “Quante altre mail sono state inviate da quella Pec governativa? Quante altre aziende sono finite vittime di questa truffa? Se le notizie dovessero essere confermate, nessuno dei nostri dati potrebbe dirsi al sicuro. Il Ministero deve immediatamente chiarire quanto accaduto”.