«Pec della prefettura di Reggio Calabria violata»: gli hacker ingannano Revolut e ottengono i dati di 680 clienti

Non hanno sfondato alcuna porta digitale. Avrebbero invece bussato utilizzando un’identità istituzionale apparentemente autentica e, almeno in un primo momento, si sono visti aprire l’accesso. È così che un gruppo di hacker sarebbe riuscito a ottenere informazioni sensibili su centinaia di clienti di Revolut, banca fintech britannica, sfruttando una casella di posta elettronica certificata riconducibile, secondo le prime ricostruzioni, a un’istituzione italiana: la prefettura di Reggio Calabria.

La vicenda, riportata dall’Ansa e dal Corriere della Sera sulla base di quanto emerso anche dal Financial Times, avrebbe coinvolto circa 680 correntisti. Tra i dati richiesti e trasmessi figurerebbero documenti d’identità, passaporti, informazioni sui conti bancari, movimenti finanziari e operazioni legate ai Bitcoin.

Sul caso stanno indagando le autorità britanniche e la Polizia postale italiana, che ipotizza i reati di accesso abusivo a sistema informatico e frode informatica. Anche Agi riporta che, secondo quanto emerso dalle prime indagini, l'indirizzo istituzionale “hackerato” dai responsabili della truffa è quello Pec della prefettura di Reggio Calabria: approfittando di questa “copertura” si sono spacciati per operatori della Polizia postale per entrare in possesso dei dati dei clienti. Sono in corso verifiche sulla fondatezza dell’indiscrezione, sulla violazione e su possibili altri attacchi.

La truffa durata mesi

Il raggiro sarebbe andato avanti per circa cinque mesi, attraverso richieste inviate in momenti diversi. Le comunicazioni sembravano provenire da una casella Pec istituzionale con dominio interno.it ed erano firmate «Polizia postale».

Un elemento che avrebbe contribuito a rendere credibili le richieste è il fatto che gli istituti finanziari siano tenuti a rispondere alle comunicazioni ufficiali delle forze dell’ordine e delle autorità pubbliche. Le richieste provenienti da domini governativi verificati possono infatti essere considerate, nell’ambito delle procedure interne, come comunicazioni legali vincolanti.

Secondo la ricostruzione, gli hacker sarebbero riusciti a sfruttare proprio questa fiducia nei confronti dei canali istituzionali. Le comunicazioni avrebbero superato i controlli tecnici relativi all’autenticazione del dominio e sarebbero state quindi trattate come richieste legittime.

I segnali che avrebbero dovuto insospettire la banca

Non sarebbero mancati, tuttavia, alcuni elementi anomali. Le richieste risultavano firmate dalla Polizia postale, ma provenivano da una Pec associata alla prefettura di Reggio Calabria. La Polizia postale, invece, dispone di propri canali di posta certificata.

Inoltre, in casi di questo tipo, le richieste degli investigatori sono normalmente accompagnate da un decreto dell’autorità giudiziaria. Nei messaggi inviati dagli hacker, secondo quanto riferito, tale documentazione sarebbe mancata.

Sono proprio questi aspetti a porre interrogativi sulle verifiche effettuate prima della consegna dei dati e sui meccanismi di controllo adottati dalla banca.

La replica di Revolut: «Fondi e sistemi non sono stati toccati»

Revolut ha definito l’accaduto una «sofisticata truffa di impersonificazione esterna». Secondo la banca, un soggetto non autorizzato avrebbe utilizzato un indirizzo e-mail appartenente a un dominio legittimo di un’agenzia governativa per inoltrare richieste fraudolente di informazioni.

L’istituto sostiene di essere intervenuto immediatamente dopo aver individuato la frode, bloccando l’indirizzo coinvolto e informando l’agenzia governativa interessata, le autorità di polizia, quelle per la protezione dei dati e gli organismi di vigilanza finanziaria.

La banca ha inoltre precisato che i propri sistemi e i fondi dei clienti non sarebbero stati compromessi. Revolut avrebbe contattato direttamente le persone coinvolte per comunicare l’accaduto e offrire assistenza.

Tra le vittime anche l’imprenditore Mark Karpelès

Tra le persone coinvolte figurerebbe anche l’imprenditore francese Mark Robert Karpelès, che ha criticato apertamente il comportamento della banca.

«Revolut non avrebbe dovuto inviare dati dei clienti in risposta a un’e-mail solo perché proveniva da un’agenzia governativa», ha dichiarato.

La vicenda solleva così una questione più ampia sulla sicurezza delle comunicazioni istituzionali e sulle procedure utilizzate dagli operatori finanziari per verificare l’autenticità delle richieste di accesso ai dati personali.

Il Codacons chiede verifiche sulle Pec violate

Sul caso è intervenuto anche il Codacons, che ha chiesto alle autorità competenti di accertare l’ampiezza dell’attacco.

L’associazione vuole sapere quante istituzioni italiane possano essere state violate dagli hacker e quali caselle di posta elettronica certificata siano state utilizzate per ottenere informazioni riservate.

Gli accertamenti dovranno ora chiarire come sia stato possibile compromettere una casella istituzionale, per quanto tempo gli aggressori abbiano avuto accesso al sistema e quali ulteriori dati possano essere stati acquisiti.

Le interrogazioni di Pd e Avs al ministro Piantedosi

Un riferimento alla presunta violazione della Pec della Prefettura di Reggio Calabria appare anche nelle interrogazioni di Pd e Avs sulla vicenda: «Le notizie che si susseguono sul caso Revolut, ove fossero confermate, sarebbero estremamente gravi e richiedono quindi un chiarimento immediato da parte del Governo. Per questo abbiamo depositato un'interrogazione urgente al ministro dell’Interno» dato che secondo indiscrezioni di stampa le richieste a Revolut sarebbero state inviate attraverso una casella Pec compromessa della Prefettura di Reggio Calabria, hanno dichiarato i senatori del Partito democratico, Lorenzo Basso e Antonio Nicita. Un’altra interrogazione è stata presentata dalla deputata di Avs Elisabetta Piccolotti.