Fonti preferite
Una mail apparentemente impossibile da mettere in dubbio, perché arrivava da una casella PEC istituzionale italiana. È così che un gruppo di criminali informatici sarebbe riuscito a ingannare Revolut e a ottenere i dati personali e finanziari di centinaia di clienti, senza dover entrare direttamente nei sistemi della banca digitale. Il caso, emerso nei giorni scorsi, ha assunto nelle ultime ore contorni ancora più preoccupanti. La comunicazione utilizzata per fingersi appartenenti alle forze dell’ordine sarebbe infatti partita da un account riconducibile alla Prefettura di Reggio Calabria, finito in qualche modo sotto il controllo degli aggressori. Una circostanza sulla quale stanno ora indagando le autorità italiane.
I criminali si sarebbero presentati a Revolut come investigatori impegnati in un’indagine, chiedendo informazioni su alcuni clienti. La provenienza istituzionale delle comunicazioni avrebbe contribuito a rendere credibile la richiesta e la società avrebbe quindi fornito i dati pensando di avere davanti una vera autorità.
Secondo le ricostruzioni emerse finora, sarebbero coinvolti circa 680 clienti europei. Tra le informazioni finite nelle mani degli aggressori figurerebbero documenti d’identità, indirizzi, fotografie utilizzate per la verifica dell’identità, dati relativi agli account e cronologie delle transazioni, comprese quelle in criptovalute.
Revolut ha precisato che i suoi sistemi informatici non sarebbero stati violati direttamente e che i soldi presenti sui conti dei clienti coinvolti non sarebbero stati toccati. La truffa avrebbe invece sfruttato la fiducia normalmente attribuita alle comunicazioni provenienti da un indirizzo governativo autentico. Ed è proprio questo dettaglio a rendere il caso particolarmente delicato. Gli aggressori non avrebbero semplicemente creato un indirizzo molto simile a quello di un ente pubblico: secondo quanto ricostruito finora, avrebbero avuto accesso a una vera casella istituzionale collegata alla Prefettura di Reggio Calabria.
Ma resta ancora da capire come sia stato ottenuto quell’accesso, con la Procura di Reggio Calabria che ha aperto un’inchiesta ipotizzando il reato di intrusione in un sistema informatico di pubblico interesse. Gli investigatori, al momento, non avrebbero ancora stabilito se sia stato effettivamente compromesso un computer della Prefettura, un sistema del Ministero dell’Interno o se la casella sia stata manipolata attraverso un’altra tecnica.
Sul caso si è attivata anche la Direzione nazionale antimafia e antiterrorismo, mentre la Polizia Postale sta cercando di ricostruire l’intera operazione.
Le prime informazioni parlano di un’azione particolarmente sofisticata, che potrebbe essere andata avanti per settimane prima che Revolut iniziasse a dubitare dell’autenticità delle richieste. A rivendicare l’operazione è stato un gruppo che si fa chiamare “IAmNotAVillain”. I suoi membri sostengono di aver selezionato soprattutto clienti con importanti disponibilità in criptovalute e di aver ottenuto informazioni da Revolut attraverso richieste ripetute. Queste dichiarazioni fanno parte della rivendicazione degli stessi criminali e sono ancora oggetto di verifiche da parte degli investigatori.
Nelle ultime ore il caso ha avuto un’ulteriore evoluzione. Il gruppo avrebbe chiesto 3 milioni di dollari in criptovalute per non vendere o diffondere i dati sottratti. Revolut, tuttavia, ha dichiarato di non aver ricevuto direttamente alcuna richiesta di riscatto dagli autori della violazione. La società sta collaborando con le autorità e con gli organismi di regolamentazione e ha già contattato gli utenti coinvolti. Per questi ultimi il rischio principale non sembrerebbe quindi quello di vedere improvvisamente svuotato il proprio conto, ma quello che informazioni personali estremamente dettagliate possano essere utilizzate per furti d’identità o nuove truffe mirate.
La vicenda dimostra soprattutto quanto un attacco informatico possa funzionare senza dover necessariamente forzare le difese tecnologiche di una banca. In questo caso sarebbe bastato presentarsi dalla porta principale con una richiesta apparentemente ufficiale. E proprio l’indirizzo istituzionale che avrebbe dovuto certificarne l’affidabilità sarebbe diventato l’elemento decisivo per rendere credibile l’inganno.
