Da Redazione Isfoa Il gruppo “iamnotavillain” rivendica l’operazione e sostiene di aver sottratto circa 147 gigabyte di dati dalle comunicazioni delle forze dell’ordine. Intanto la Procura di Reggio Calabria indaga sulla PEC della Prefettura e il Garante Privacy avvia verifiche sulla sicurezza degli accessi bancari.
Non sarebbe stato necessario violare direttamente i sistemi informatici di Revolut. Sarebbe bastato presentarsi con le credenziali digitali apparentemente più autorevoli possibili: quelle di un’istituzione dello Stato italiano.
È questo il punto più delicato della vicenda che coinvolge la fintech britannica Revolut e che, nelle ultime ore, ha assunto una dimensione internazionale. Un gruppo di hacker che si identifica con lo pseudonimo “iamnotavillain” ha rivendicato l’operazione, sostenendo di aver utilizzato una casella di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria per fingersi autorità di polizia e ottenere dalla società dati riservati di centinaia di clienti.
Secondo le informazioni raccolte dal Financial Times e rilanciate dalle agenzie di stampa, i clienti interessati sarebbero circa 680, distribuiti in 33 Paesi, prevalentemente europei. Gli aggressori avrebbero ottenuto informazioni personali e finanziarie, comprese, a seconda dei casi, informazioni identificative e cronologie delle transazioni.
La vicenda è ora al centro di più filoni investigativi: dalla Polizia postale alla Procura di Reggio Calabria, fino alla Direzione nazionale antimafia e antiterrorismo. Parallelamente, il Garante per la protezione dei dati personali sta verificando se il caso possa rivelare vulnerabilità più ampie nei sistemi utilizzati dagli istituti bancari.
L’attacco a Revolut e la falsa identità delle forze dell’ordine
La tecnica descritta dagli investigatori e dalle fonti che hanno ricostruito il caso è particolarmente insidiosa perché non si fonda necessariamente sulla compromissione diretta dei server della banca.
Gli hacker avrebbero utilizzato un account istituzionale compromesso per inviare a Revolut richieste apparentemente provenienti da un’autorità italiana. Il presupposto era semplice: una richiesta proveniente da un dominio governativo autentico avrebbe avuto un livello di credibilità sufficiente per essere trattata come una comunicazione ufficiale.
Secondo il Financial Times, gli autori dell’attacco avrebbero contattato Revolut per la prima volta alcuni mesi fa, fingendosi appartenenti alle forze dell’ordine italiane. Successivamente avrebbero inoltrato ulteriori richieste relative a clienti specifici, domandando informazioni quali indirizzi, numeri di telefono e cronologie delle operazioni.
Il meccanismo avrebbe consentito agli aggressori di trasformare una casella istituzionale in una sorta di chiave d’accesso sociale, sfruttando non una vulnerabilità tecnologica della banca, ma la fiducia attribuita all’identità digitale del mittente.
Revolut ha spiegato che le richieste provenienti da domini governativi verificati vengono trattate come richieste legali obbligatorie e che, in questo caso, le comunicazioni presentavano un’autenticazione tecnica apparentemente valida.
È proprio questo passaggio a rendere il caso particolarmente significativo: l’autenticità tecnica del canale di comunicazione non coincide necessariamente con l’autenticità della persona che lo utilizza.
La PEC della Prefettura di Reggio Calabria sotto esame
Al centro delle verifiche italiane c’è una casella PEC riconducibile alla Prefettura di Reggio Calabria.
Secondo le ricostruzioni finora disponibili, da quell’indirizzo sarebbero partite comunicazioni indirizzate a Revolut con richieste di informazioni sui clienti. La Polizia postale sta cercando di stabilire se la casella sia stata effettivamente compromessa oppure se sia stata utilizzata attraverso una tecnica di clonazione o altra forma di impersonificazione.
La distinzione è tutt’altro che marginale.
Se fosse stata violata direttamente una casella istituzionale, gli investigatori dovrebbero ricostruire le modalità dell’accesso, individuare eventuali credenziali compromesse e verificare se l’incursione abbia consentito agli aggressori di accedere ad altre comunicazioni o infrastrutture. Se invece fosse stata utilizzata una tecnica di falsificazione dell’identità digitale, il quadro tecnico e le responsabilità potrebbero essere differenti.
La prima informativa della Polizia postale, secondo quanto riferito dalle autorità investigative, descrive un’azione sofisticata. Al momento, inoltre, non vi sarebbe certezza che sia stato compromesso un computer della Prefettura o del Viminale.
La Procura di Reggio Calabria apre un’inchiesta
La Procura della Repubblica di Reggio Calabria ha aperto un fascicolo sulla vicenda. L’ipotesi di reato indicata è quella prevista dall’articolo 615-ter, comma 3, del Codice penale, relativa all’accesso abusivo a un sistema informatico o telematico di interesse pubblico.
L’indagine dovrà chiarire anzitutto come sia stato possibile utilizzare l’identità digitale dell’amministrazione italiana e quale sia stato il percorso seguito dagli aggressori prima e dopo l’invio delle richieste a Revolut.
È inoltre necessario stabilire l’effettiva estensione della compromissione. La rivendicazione del gruppo “iamnotavillain”, infatti, deve essere distinta dalle informazioni già riscontrate dagli investigatori.
Gli hacker sostengono di essere entrati in possesso di circa 147 gigabyte di dati interni delle forze dell’ordine italiane. Si tratta, allo stato delle informazioni disponibili, di una dichiarazione degli stessi aggressori e non di un dato definitivamente accertato dalle autorità.
Per questo motivo gli investigatori stanno analizzando anche la loro attività online e monitorando il dark web, allo scopo di verificare se eventuali archivi sottratti vengano messi in vendita o pubblicati.
Il rischio per i 680 clienti Revolut
La dimensione della violazione non riguarda soltanto il numero delle persone coinvolte.
Il valore dei dati sottratti dipende infatti dalla loro combinazione. Un indirizzo di residenza, un numero di telefono, un documento d’identità e una cronologia finanziaria possono costituire un profilo estremamente dettagliato di una persona.
Secondo il Financial Times, i dati ottenuti dagli aggressori riguarderebbero circa 680 clienti e comprenderebbero informazioni sensibili relative alle loro identità e ai loro rapporti finanziari. Alcuni dei soggetti sarebbero stati individuati proprio per la consistenza delle loro attività in criptovalute.
Questo elemento spiega anche perché la vicenda abbia assunto un rilievo particolare nel mondo della sicurezza digitale. Un conto bancario non è soltanto un saldo: è una mappa di abitudini, relazioni economiche, movimenti e identità.
La società ha tuttavia precisato che l’incidente non equivale a una compromissione generalizzata dei propri sistemi e che i fondi dei clienti non risultano direttamente sottratti nell’ambito della violazione resa pubblica.
Gli hacker alzano la posta: «Abbiamo i dati della polizia italiana»
A rendere ancora più delicata la situazione è stata la rivendicazione pubblica del gruppo “iamnotavillain”.
Contattati dal Financial Times tramite Telegram, gli hacker hanno mostrato screenshot e altro materiale che sostengono di aver ricavato dalle comunicazioni con Revolut. Il quotidiano ha riferito di aver ricevuto materiale redatto e immagini di documenti che, secondo gli aggressori, dimostrerebbero la sottrazione di dati.
Successivamente è emersa anche una richiesta di riscatto da 3 milioni di dollari, accompagnata dalla minaccia di rendere pubblici i dati sottratti. Il Financial Times ha riferito che la richiesta sarebbe stata formulata attraverso un sito gestito dagli aggressori e con pagamento richiesto in criptovaluta Monero.
Ma la vera incognita resta un’altra: capire se l’affermazione relativa ai 147 gigabyte di dati delle forze dell’ordine italiane corrisponda a un archivio reale, a una raccolta parziale di informazioni oppure a una strategia di pressione psicologica finalizzata a rendere più credibile la minaccia.
È una distinzione fondamentale che soltanto le verifiche tecniche potranno chiarire.
Il Garante Privacy verifica la sicurezza delle banche
La vicenda ha intanto prodotto un effetto che va oltre Revolut.
Il Garante per la protezione dei dati personali ha avviato verifiche sulla sicurezza dei sistemi di accesso utilizzati dagli istituti bancari italiani. Secondo quanto riferito dall’ANSA, l’Autorità ha coinvolto la rete dei responsabili della protezione dei dati, i DPO delle banche, chiedendo verifiche interne su eventuali vulnerabilità e la segnalazione tempestiva di possibili falle.
L’intervento assume particolare rilievo perché il caso Revolut pone una domanda che riguarda l’intero settore finanziario: quanto è sicura una procedura quando l’identità tecnica del mittente appare autentica, ma la persona che utilizza quell’identità è un criminale?
Non si tratta soltanto di proteggere password e server. La sicurezza riguarda anche i processi attraverso i quali una banca decide che una richiesta di dati è realmente legittima.
Il Garante ha già sottolineato, in precedenti provvedimenti e indicazioni in materia bancaria, l’importanza del tracciamento degli accessi, dei sistemi di allerta per comportamenti anomali e dei controlli periodici sulle operazioni effettuate sui dati dei clienti.
Il nodo della fiducia digitale
Il caso Revolut porta alla luce una vulnerabilità più difficile da risolvere rispetto a una semplice falla software: la fiducia automatizzata nei sistemi digitali.
Per anni la sicurezza informatica è stata raccontata principalmente attraverso firewall, autenticazione a più fattori, crittografia e protezione dei server. Tutti strumenti essenziali, ma non sufficienti.
Un attacco può infatti iniziare molto prima dell’accesso a un sistema bancario. Può cominciare con la compromissione di un account apparentemente secondario, con il furto di credenziali o con l’appropriazione di un’identità digitale istituzionale.
Una volta ottenuto quel livello di credibilità, il criminale non deve necessariamente “sfondare” una porta digitale. Può convincere qualcuno ad aprirla.
È questa la lezione più delicata della vicenda Revolut.
Cosa dovranno chiarire le indagini
Le prossime fasi dell’inchiesta dovranno rispondere ad alcune domande decisive:
- come è stata compromessa, o eventualmente impersonata, la casella istituzionale;
- quali comunicazioni sono state effettivamente inviate a Revolut;
- quanti dati sono stati trasmessi e quali categorie di informazioni riguardavano;
- se esistano altre istituzioni o banche coinvolte;
- se i dati della Polizia italiana rivendicati dagli hacker esistano realmente e provengano da sistemi pubblici;
- se i dati dei clienti siano già stati pubblicati o messi in vendita nel dark web.
Su quest’ultimo punto, il monitoraggio degli ambienti criminali online potrebbe diventare determinante. Una pubblicazione massiccia dei dati consentirebbe infatti agli investigatori di confrontare il materiale rivendicato dagli hacker con le informazioni effettivamente sottratte.
Una crisi che riguarda l’intera catena della sicurezza
La vicenda non può essere ridotta alla domanda se Revolut sia stata “hackerata” oppure no.
Il problema più profondo è rappresentato dalla catena di fiducia che collega pubblica amministrazione, autorità investigative, istituti finanziari e cittadini.
Se una richiesta apparentemente proveniente da un’autorità pubblica è sufficiente a ottenere dati finanziari sensibili, il punto critico non è soltanto l’integrità della casella di posta. È l’intero processo di verifica che dovrebbe accompagnare una richiesta di accesso alle informazioni.
Ed è proprio su questo terreno che il caso potrebbe avere conseguenze più ampie. Il Garante sta verificando le procedure degli istituti bancari italiani; le autorità investigative stanno cercando di ricostruire la compromissione della PEC; Revolut deve chiarire come siano state validate le richieste ricevute; gli investigatori devono stabilire infine quali siano le reali dimensioni dell’operazione.
La tecnologia, ancora una volta, ha mostrato che il punto più fragile di un sistema può essere anche il suo elemento apparentemente più affidabile: l’identità.
La domanda che resta sul tavolo non è soltanto quanti dati siano stati rubati. È capire quanto sia necessario ripensare i meccanismi attraverso cui, nell’era digitale, un messaggio viene riconosciuto come autentico e una richiesta viene considerata degna di fiducia.
Finché questo passaggio non sarà chiarito, la vicenda Revolut resterà aperta su due fronti: quello giudiziario, per accertare responsabilità e dimensioni dell’attacco, e quello più ampio della sicurezza digitale, perché una casella istituzionale compromessa può trasformarsi, nelle mani sbagliate, in una credenziale capace di attraversare confini, banche e sistemi di controllo.