«Revolut non è stata "hackerata", ha risposto a una richiesta gentile». È la frase a effetto, e decisamente efficace, che accompagna il commento di Miguel Fornés, cybersecurity expert and Information Security Manager di Incogni, sulla vicenda dei dati sensibili di circa 680 clienti che Revolut ha fornito a dei soggetti che si spacciavano per la Procura di Reggio Calabria.
Un attacco che resta al centro dell’attenzione dei principali siti di informazione e dei social media. E che stupisce perché è stato veicolato grazie alla compromissione di un canale ufficiale e istituzionale. Non è andato a segno sfruttando una falla tecnologica, ma una umana.
La confusione sulla PEC violata
Le notizie sono uscite a spizzichi e bocconi, nei giorni scorsi. Dopo le prime informazioni, che parlavano appunto di una casella email “istituzionale” violata, senza specificare in quale Paese, è arrivata la conferma ai timori espressi in redazione, e cioè che si trattasse della PEC di una realtà italiana.
Ma di quale istituzione? Sui media sono comparse ipotesi: la Polizia Postale, poi il Ministero dell’Interno, infine la conferma che si trattava della Prefettura di Reggio Calabria.
Da questo indirizzo PEC è partita la richiesta di informazioni e documentazione su alcuni clienti Revolut, stimati in poco meno di 700. Il mittente, dal punto di vista tecnico e tecnologico, era certificato e verificato.
Il punto, come è emerso in seguito, era un altro: il ruolo corrispondente a quell’indirizzo PEC non avrebbe avuto alcun diritto a chiedere quei documenti e quelle informazioni. È quindi mancato un elemento umano di controllo, un secondo canale di comunicazione con le Autorità che permettesse di approfondire la questione.
Un aspetto che riporta alla mente quei “rapporti diretti, quasi informali” tra banche e Autorità (di Vigilanza e non solo), quella conoscenza diretta che permetteva di aggirare alcuni iter burocratici, e che è stata ben raccontata in un libro non recentissimo, Il Futuro delle Banche. Sotto questo aspetto, la struttura internazionale di Revolut potrebbe non avere aiutato: le PEC sono state infatti gestite dalla sede centrale, in Lituania, con tutte le complicazioni linguistiche e culturali del caso. La vicinanza territoriale, la presenza locale, contano eccome.
Una prima lezione che il settore imparerà da questa vicenda è «la distinzione tra ciò che è tecnicamente autentico e ciò che è realmente legittimo», come ha scritto Marco Zani, Country Manager di Proofpoint Italia. «Nel cybercrime moderno, un’email può essere formale e valida sotto il profilo informatico ma far parte, al contempo, di un attacco sofisticato. E quando la fiducia diventa il bersaglio principale, anche l’architettura tecnica meglio protetta rischia di rimanere vulnerabile».
Come sottolinea Fornés di Insignio, «nessun algoritmo o blocco biometrico può rimediare alla credulità umana o a un processo di verifica difettoso. La fiducia umana lavora così e i truffatori lo sanno meglio della maggior parte dei team di security».
L’essere umano resta l’anello debole. Tra l’altro, un attacco per alcuni versi simile è stato condotto contro Apple e Meta negli Stati Uniti, nel 2022, mostrando i limiti dei controlli automatici, basati soltanto su dominio, autenticazione email e provenienza istituzionale. Autentico non significa legittimo.
I dati violati
A essere stati trasmessi sono i dati sensibili di circa 680 clienti Revolut: documenti di identità, selfie scattati in-app a scopo KYC, codice IBAN, elenco delle transazioni, comprese quelle in Bitcoin, indirizzo e pressoché tutti i dati anagrafici.
Il principale rischio è che tutti questi preziosi documenti siano venduti e scambiati nel deep web, diventano lo strumento per condurre furti di identità, frodi e tentativi di truffa.
Non hanno subito una perdita di denaro, ma qualcosa di diverso: a essere violata è la loro identità, diventata merce di scambio e strumento per commettere frodi e truffe, in una versione distorta del titolo di un altro celebre libro, questa volta di David Birch, risalente a un decennio fa e sempre sul tema della banca del futuro, "Identity is the New Money".
Il paradosso, evidenzia ancora Fornés, è che «proprio i dati che i clienti sono costretti a fornire a una banca, per dimostrare di non avere nulla da nascondere […] li rendono dei bersagli appetibili. Queste richieste, necessarie per la compliance KYC, possono finire per alimentare l’economia del cybercrime, trasformando i dati sensibili in dati ad alto valore, per i ladri di identità».
Che cosa fare se si è stati colpiti
Per questi clienti valgono le consuete raccomandazioni: monitorare conti, beneficiari, dispositivi collegati e comunicazioni inattese. E, soprattutto, diffidare di qualunque richiesta in arrivo, tramite email o telefono, di fornire password, codici di sicurezza o trasferimenti urgenti per “proteggere” il conto.
Purtroppo, il fatto che i criminali dispongano di documenti, recapiti e informazioni finanziarie complete permette loro di agire con maggiore credibilità e audacia nei loro tentativi di truffa.
Suscita poi una certa curiosità l'ipotesi che i dati sottratti siano relativi a clienti con grandi disponibilità di Bitcoin, si arriva addirittura a ipotizzare che si tratti di "balene", lasciando immaginare che ci siano ulteriori obiettivi, dietro la sottrazione di dati. Ma tutte queste indiscrezioni, riprese anche sui social, sono in attesa di riscontri.
