Nessuna effrazione informatica ai server, nessun malware devastante per forzare i caveau digitali dell’istituto. La porta d’accesso si è aperta semplicemente perché gli aggressori si sono presentati con la divisa virtuale delle forze dell’ordine, bussando e chiedendo di entrare. Un gruppo di hacker è riuscito a farsi consegnare un’ingente mole di dati sensibili appartenenti a circa 680 correntisti della fintech britannica Revolut, sfruttando la casella di Posta Elettronica Certificata (PEC) di un’istituzione pubblica italiana: la Prefettura di Reggio Calabria.
La dinamica dell’inganno e i dati sottratti
L’attacco, definito dagli stessi esperti come un clamoroso caso di data breach, si è consumato nell’arco di circa cinque mesi attraverso richieste d’informazione cadenzate nel tempo. Tra i dati personali e finanziari finiti nelle mani dei pirati informatici figurano copie di passaporti, carte d’identità, estratti conto bancari e persino dettagli sulle transazioni effettuate in Bitcoin.
Ad avvalorare la truffa agli occhi dell’istituto di credito è stata l’origine delle comunicazioni: le mail provenivano da un indirizzo PEC con il dominio ufficiale .it ed erano formalmente firmate a nome della “Polizia Postale”. Per legge, gli istituti finanziari sono tenuti ad adempiere prontamente alle richieste investigative ufficiali che giungono da agenzie governative o forze dell’ordine; per questo motivo, i messaggi dotati di un’autenticazione tecnica di dominio apparentemente valida sono stati lavorati ed evasi secondo le ordinarie procedure di conformità e obbligo legale.
Le anomalie non rilevate
Nonostante l’apparente regolarità delle comunicazioni, non mancavano gli elementi di sospetto che avrebbero potuto far scattare l’allarme. In primo luogo, l’utilizzo della PEC della Prefettura reggina per inoltrare atti firmati dalla Polizia Postale, che dispone solitamente di propri canali dedicati; in secondo luogo, la presunta assenza dei decreti dell’Autorità Giudiziaria, allegati obbligatori per questo genere di ostensioni informative.
Sul caso sono state avviate indagini su due fronti: mentre le autorità britanniche analizzano la posizione della banca, in Italia la Polizia Postale sta procedendo per i reati di accesso abusivo a sistema informatico e frode informatica.
La replica di Revolut e le proteste delle vittime
La banca fintech ha cercato di ridimensionare la portata dell’evento, assicurando che “i sistemi di Revolut e i fondi dei clienti non sono stati toccati” e definendo l’accaduto come una “sofisticata truffa di impersonificazione esterna”. L’istituto ha inoltre precisato: «Non appena individuata la frode, abbiamo immediatamente bloccato l’indirizzo e informato l’agenzia governativa interessata, le autorità di contrasto, il Garante per la protezione dei dati e gli organi di vigilanza finanziaria, contattando direttamente il numero limitato di persone coinvolte per fornire loro assistenza».
Le rassicurazioni non hanno tuttavia placato le polemiche. Tra i soggetti colpiti figura anche l’imprenditore francese Mark Robert Karpelès, che ha contestato duramente l’operato del colosso bancario, evidenziando come la semplice provenienza da un dominio governativo non avrebbe dovuto giustificare l’invio automatizzato di informazioni riservate dei clienti.
L’intervento del Codacons
Sulla vicenda è intervenuto anche il Codacons, sollevando perplessità sulla tenuta dei sistemi di sicurezza informatica della Pubblica Amministrazione. L’associazione dei consumatori ha chiesto alle autorità competenti di attivarsi con urgenza per accertare le reali dimensioni del fenomeno, identificando quante e quali istituzioni italiane siano state eventualmente violate dai cybercriminali per compiere furti d’identità e di dati personali.