Hacker ingannano Revolut usando la Pec della Prefettura di Reggio Calabria: dati di centinaia di clienti a rischio

Gli hacker non avrebbero violato direttamente i sistemi informatici di Revolut. Anzi sarebbero riusciti a ottenere informazioni riservate sfruttando un indirizzo di posta elettronica apparentemente riconducibile a un’istituzione italiana.

È quanto emerge dalla vicenda riportata dal Financial Times, secondo cui un gruppo di pirati informatici avrebbe utilizzato una mail compromessa appartenente al dominio della Prefettura di Reggio Calabria per inviare alla banca false richieste di informazioni presentandosi come Polizia postale.

Financial Times: «Dati sensibili di centinaia di correntisti»

Secondo una stima citata dal Financial Times, sarebbero 680 i clienti Revolut coinvolti nella violazione. Le informazioni ottenute comprenderebbero dati particolarmente sensibili, tra cui passaporti, carte d’identità, conti bancari, operazioni con Bitcoin e altri dati relativi ai correntisti.

Sul caso, oltre alle autorità britanniche, sta indagando anche la Polizia postale italiana, nell’ambito di un procedimento per ipotesi di accesso abusivo a sistema informatico e frode informatica.

La finta mail con l’indirizzo della Prefettura di Reggio Calabria

Uno degli aspetti più rilevanti della vicenda riguarda la durata dell’operazione. Secondo quanto riportato, le richieste fraudolente sarebbero state inviate nell’arco di circa cinque mesi, distribuite in periodi diversi prima che la frode venisse individuata.

A rendere apparentemente credibili le comunicazioni sarebbe stato il fatto che provenissero da una Pec istituzionale, con il dominio associato alla Prefettura di Reggio Calabria, e che fossero firmate come “Polizia postale”.

Gli istituti finanziari sono tenuti a rispondere alle richieste ufficiali provenienti dalle forze dell’ordine e dalle agenzie governative. Le comunicazioni, secondo la ricostruzione riportata, sembravano inoltre disporre di un’autenticazione tecnica valida del dominio. Sarebbero state quindi gestite nell’ambito delle ordinarie procedure previste per gli obblighi di legge.

I segnali che avrebbero potuto insospettire

Nelle comunicazioni, tuttavia, ci sarebbero stati alcuni elementi anomali. Uno di questi riguarda proprio l’utilizzo della Pec della Prefettura di Reggio Calabria per richieste formalmente attribuite alla Polizia postale, che dispone di una propria Pec.

Un ulteriore elemento avrebbe riguardato la documentazione allegata. Le richieste delle forze dell’ordine, in casi di questo tipo, vengono normalmente corredate dal relativo decreto dell’autorità giudiziaria, che secondo quanto riportato sarebbe invece mancato nelle comunicazioni inviate dagli hacker.

La posizione di Revolut sulla truffa degli hacker

Revolut ha definito l’accaduto una «sofisticata truffa di impersonificazione esterna». Spiegando che un soggetto non autorizzato avrebbe utilizzato un indirizzo appartenente a un dominio legittimo di un’agenzia governativa per formulare richieste fraudolente di informazioni.

La banca ha precisato: «Non appena individuata la frode – ha sottolineato – abbiamo immediatamente bloccato l’indirizzo. Nonché informato l’agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle dell’accaduto e fornire loro assistenza».

Revolut ha inoltre assicurato che «i sistemi di Revolut e i fondi dei clienti non sono stati toccati».

La protesta di un imprenditore francese e l’intervento del Codacons

Tra le persone coinvolte ci sarebbe anche l’imprenditore francese Mark Robert Karpelès. Lo stesso ha contestato la gestione delle richieste da parte dell’istituto: «Revolut non avrebbe dovuto inviare dati dei clienti in risposta a un’e-mail solo perché proveniva da un’agenzia governativa».

Sulla vicenda degli hacker di Revolut è intervenuto anche il Codacons. Ha così chiesto «alle autorità competenti di attivarsi per accertare le dimensioni del fenomeno, se e quante istituzioni italiane siano state violate dai criminali informatici e quali Pec siano state utilizzate per realizzare furti di dati sensibili».

La vicenda apre dunque interrogativi sull’utilizzo fraudolento delle comunicazioni istituzionali e sulle verifiche necessarie quando una richiesta di dati sensibili arriva apparentemente da un ente pubblico.