Truffa a Revolut con la Pec della Prefettura di Reggio Calabria: hacker chiedono 3 milioni di dollari

Si allarga l’inchiesta sulla truffa informatica ai danni di Revolut realizzata, secondo le prime ricostruzioni, sfruttando un account riconducibile alla Prefettura di Reggio Calabria. Sul caso si è attivata anche la Direzione nazionale antimafia e antiterrorismo, alla luce del coinvolgimento di un ente governativo.

La prima informativa della Polizia postale descrive un’operazione particolarmente sofisticata. Uno degli aspetti ancora da chiarire riguarda proprio la modalità con cui gli hacker sarebbero riusciti a utilizzare la posta elettronica certificata della Prefettura: gli investigatori stanno verificando se l’account sia stato effettivamente violato oppure se l’indirizzo sia stato clonato.

Nel frattempo, la Procura di Reggio Calabria ha aperto un’inchiesta e sul tavolo dei magistrati è arrivata la documentazione relativa al presunto accesso abusivo alla Pec della Prefettura. Tra le ipotesi di reato figura l’intrusione in un sistema informatico di pubblico interesse.

Nel mirino i dati di 680 clienti Revolut

Attraverso le comunicazioni apparentemente provenienti da un soggetto istituzionale, gli autori della truffa sarebbero riusciti a ottenere informazioni sensibili appartenenti a diverse centinaia di clienti della banca digitale britannica.

La stima riportata dal Financial Times parla di circa 680 correntisti coinvolti. Tra i dati che sarebbero stati acquisiti figurano documenti di identità e passaporti, informazioni relative a conti bancari e operazioni effettuate con Bitcoin.

Gli investigatori non hanno ancora la certezza che sia stato compromesso un computer della Prefettura di Reggio Calabria o del Viminale. L’attenzione resta quindi concentrata sulla ricostruzione tecnica dell’attacco e sull’origine delle comunicazioni utilizzate dagli hacker.

La rivendicazione di “I Am Not A Villain”

Parallelamente sono in corso verifiche sulla rivendicazione pubblicata online dal gruppo “I Am Not A Villain”. Gli hacker, contattati dal Financial Times attraverso Telegram, sostengono di aver compromesso i sistemi di Revolut attraverso un’operazione durata alcuni mesi.

Il collettivo afferma inoltre di essere entrato in possesso di 147 gigabyte di dati, nei quali sarebbero presenti anche documenti interni e conversazioni di agenti delle forze dell’ordine italiane. Anche questo elemento è oggetto di accertamenti per stabilire l’effettiva autenticità delle informazioni rivendicate.

Per sostenere la propria versione, il gruppo avrebbe diffuso anche screenshot relativi alle comunicazioni intercorse. Nei messaggi riportati dal Financial Times, gli hacker sostengono di essersi spacciati per «un ente delle forze dell’ordine» italiano e affermano che Revolut avrebbe «collaborato come un “bravo ragazzo”».

Chiesto un riscatto da 3 milioni di dollari

Il gruppo criminale avrebbe ora chiesto a Revolut il pagamento di un riscatto di 3 milioni di dollari entro 24 ore. In caso contrario, la minaccia è quella di mettere i dati a disposizione di altri gruppi criminali.

Per questo motivo gli investigatori stanno monitorando anche il dark web, con l’obiettivo di verificare se le informazioni sottratte siano state effettivamente messe in vendita. La rivendicazione, così come la quantità e la natura dei dati dichiarati dagli hacker, resta comunque da verificare.

Revolut: «I sistemi e i fondi dei clienti non sono stati toccati»

Sul caso è intervenuta anche Revolut, che ha rassicurato i propri clienti sull’integrità dei sistemi e delle disponibilità finanziarie. La banca ha assicurato che «i sistemi di Revolut e i fondi dei clienti non sono stati toccati».

La particolarità dell’episodio risiederebbe quindi soprattutto nella tecnica utilizzata per ottenere le informazioni. Gli hacker avrebbero infatti inviato richieste apparentemente riconducibili alla Polizia postale, utilizzando un dominio “interno.it”, in più occasioni e nell’arco di circa sei mesi, prima che emergessero sospetti.

Le verifiche del Garante della Privacy

Sulla vicenda si è attivato anche il Garante per la protezione dei dati personali. Quest’ultimo ha avviato una verifica immediata sulle eventuali vulnerabilità nei sistemi di accesso degli istituti bancari italiani.

L’obiettivo è accertare se vi siano stati altri tentativi di infiltrazione e richiamare gli operatori finanziari alla necessità di controlli efficaci sui propri sistemi. L’Autorità ha inoltre inviato una comunicazione alla rete dei responsabili della protezione dei dati degli istituti bancari, invitandoli a effettuare una «solerte verifica» e, in caso di eventuali falle, a contattare immediatamente il Garante.

Il Garante italiano ha avviato inoltre un confronto con l’autorità omologa lituana, dove si trova la sede legale principale di Revolut, per favorire lo scambio di informazioni sul caso.

Infine, sono stati avviati contatti con il Ministero dell’Interno per approfondire ulteriormente la vicenda e verificare l’eventuale coinvolgimento di altre banche o istituti finanziari.