No, Revolut non è stata "hackerata". L'attacco condotto contro la banca digitale, e ben visibile sui principali siti di informazione, è stato veicolato grazie alla compromissione di un canale ufficiale e istituzionale, e non dei suoi sistemi informatici. Ovviamente, l'occasione è particolarmente ghiotta per articoli acchiappa-clic, vista la notorietà di Revolut, mentre la "vera notizia", cioè le modalità di attacco rischiano di restare un tema da addetti ai lavori.
Perché è chiaro che non c'è stata violazione dell'infrastruttura di Revolut.
La falla di sicurezza tecnica era in una "istituzione italiana" ancora da individuare con certezza. Alcune indiscrezioni parlano del Ministero dell'Interno, o della Polizia Postale, o ancora di una Prefettura. Comunque sia, i criminali sono riusciti a creare un indirizzo PEC ad hoc, oppure a violarne uno esistente, e sono stati così in grado di inviare una richiesta di dati all'apparenza perfettamente legittima. E qui è scattata la seconda "falla", completamente umana: il messaggio ricevuto da Revolut ha superato tutti i controlli standard. Proveniva da un indirizzo sicuro, certificato e "verificabile". Non si è quindi proceduto a ulteriori controlli e si è proceduto a inviare i dati richiesti.
Una leggerezza, si legge ora grazie al senno di poi. Ma la modalità di attacco, come si può leggere in alcuni commenti su LinkedIn e come confermato da alcune chiacchierate off the record, avrebbe potuto prendere in contropiede diverse banche. La PEC certifica provenienza, consegna e momento della trasmissione. I classici controlli sulla "legittimità" del messaggio sarebbero stati ritenuti sufficienti in molti casi, dando il semaforo verde alla procedura.
Quello che l'intero settore ha imparato è che servono ulteriori canali di verifica e controllo. Che cio che è tecnicamente e formalmente legittimo e reale, può in realtà essere falso.
I dati violati
Tornando ai fatti, alcune fonti giornalistiche online parlano di circa 680 o 700 clienti colpiti. I loro documenti e molte informazioni finanziarie sono nelle mani dei criminali che hanno condotto l'attacco. Documenti di identità, selfie scattati in-app a scopo KYC, codice IBAN, elenco delle transazioni, indirizzo e pressoché tutti i dati anagrafici. Il principale rischio è che tutti questi preziosi documenti siano venduti e scambiati nel deep web, diventano lo strumento per condurre furti di identità, frodi e tentativi di truffa.
Il loro denaro è intatto, così come i sistemi di Revolut.
A essere violata è la loro identità, in una versione distorta del titolo del celebre saggio di David Birch di oltre un decennio fa sulla banca del futuro, "Identity is the New Money". Per questi clienti valgono le consuete raccomandazioni: monitorare conti, beneficiari, dispositivi collegati e comunicazioni inattese. E, soprattutto, diffidare di qualunque richiesta in arrivo, tramite email o telefono, di fornire password, codici di sicurezza o trasferimenti urgenti per “proteggere” il conto. Purtroppo, il fatto che i criminali dispongano di documenti, recapiti e informazioni finanziarie complete permette loro di agire con maggiore credibilità e audacia nei loro tentativi di truffa.
C'è poi una ridda di voci, da confermare, sul fatto che siano stati ottenuti gli elenchi delle transazioni in Bitcoin, consentendo di fatto di associare l'identità del cliente alle transazioni su blockchain. Altri commentatori online ipotizzano che la richiesta di dati abbia riguardato uno specifico gruppo di clienti di alta fascia, il che spiega il numero relativamente limitato di vittime. Ma tutte queste indiscrezioni, riprese anche sui social, sono in attesa di riscontri.
La lezione per banche e fintech
A essere decisamente preoccupante, per l'intera industria, sono le dinamiche dell'attacco, definito da Revolut una "sofisticata truffa di impersonificazione esterna". È il caso di ricordare nuovamente che non è stata violata direttamente l’infrastruttura della fintech: i criminali hanno invece utilizzato una specie di cavallo di Troia, un indirizzo email istituzionale ufficiale, per aggirare le difese e ottenere le informazioni che volevano.
Una replica di quanto accaduto ad Apple e Meta negli Stati Uniti, nel 2022. E che mostra i limiti dei controlli automatici, basati soltanto su dominio, autenticazione email e provenienza istituzionale. Se c'è una "lesson learned" in tutta questa vicenda, è che gli operatori probabilmente in futuro prevedranno sempre verifiche indipendenti tramite un secondo canale, oltre a controlli sulla proporzionalità dei dati richiesti e sull’autorità effettiva del mittente.
Indagini e responsabilità
La società ha dichiarato di aver bloccato l’indirizzo utilizzato, informato l’agenzia governativa interessata, le forze dell’ordine e le autorità competenti. L’Information Commissioner’s Office britannico ha aperto un’indagine dopo l’autosegnalazione di Revolut.
Il numero di circa 680 clienti è stato riportato da fonti giornalistiche, ma non è stato confermato pubblicamente dalla società. Le indagini sono ancora in corso e si attendono ulteriori aggiornamenti.
