Non hanno forzato alcuna porta digitale. Hanno semplicemente bussato presentandosi come autorità: “sono la polizia, posso entrare?”. E qualcuno ha aperto. È questa la modalità con cui un gruppo di hacker sarebbe riuscito a ottenere dati sensibili di centinaia di clienti Revolut, sfruttando una casella di posta elettronica certificata riconducibile, secondo quanto emerso, alla Prefettura di Reggio Calabria. La vicenda, riportata dall’agenzia ANSA, riguarda una delle più grandi banche fintech europee e vede coinvolti circa 680 correntisti, secondo una stima del Financial Times. Gli hacker avrebbero utilizzato una comunicazione apparentemente ufficiale per richiedere informazioni riservate come documenti di identità, passaporti, dati bancari e informazioni relative alle operazioni in criptovalute. Sul caso sono in corso accertamenti da parte delle autorità britanniche e della Polizia postale italiana, che indaga per le ipotesi di accesso abusivo a sistema informatico e frode informatica.
La truffa informatica durata mesi: gli hacker si sono finti agenti della Polizia postale
Il punto più sorprendente dell’attacco riguarda il metodo utilizzato dai criminali informatici. Non si sarebbe trattato di una violazione diretta dei sistemi della banca, ma di una vera e propria truffa di impersonificazione, costruita sfruttando la credibilità di un dominio istituzionale. Le richieste inviate a Revolut sembravano provenire da un indirizzo ufficiale con dominio governativo e risultavano firmate come provenienti dalla Polizia postale. Una circostanza che avrebbe convinto la banca a procedere con le comunicazioni richieste, seguendo le normali procedure previste per adempiere agli obblighi di legge.
Secondo le prime ricostruzioni, la frode sarebbe andata avanti per circa cinque mesi, con richieste distribuite in più momenti prima della scoperta dell’anomalia. Il fatto che le comunicazioni arrivassero da una Pec istituzionale italiana avrebbe contribuito a rendere credibile il raggiro. Gli istituti finanziari, infatti, sono tenuti a collaborare con le autorità e a fornire informazioni quando ricevono richieste formalmente valide da parte di organismi pubblici. Le comunicazioni provenienti da domini governativi verificati vengono normalmente considerate come richieste legittime nell’ambito delle procedure investigative.
I segnali che avrebbero potuto far scattare l’allarme
Nonostante l’apparente autenticità delle comunicazioni, alcuni elementi avrebbero potuto rappresentare dei campanelli d’allarme. Le richieste risultavano infatti firmate dalla Polizia postale ma inviate attraverso una Pec della Prefettura di Reggio Calabria, mentre la stessa Polizia postale dispone di propri canali istituzionali. Inoltre, secondo quanto emerso, nelle richieste mancavano alcuni elementi normalmente presenti in procedimenti di questo tipo, come il decreto dell’autorità giudiziaria che accompagna le acquisizioni di dati personali da parte delle forze dell’ordine. Proprio questi aspetti saranno al centro degli approfondimenti degli investigatori, chiamati a ricostruire come sia stato possibile utilizzare un canale istituzionale apparentemente affidabile e quali eventuali falle siano state sfruttate dagli hacker.
Revolut: “sistemi e fondi dei clienti non sono stati compromessi”
La banca britannica ha confermato l’accaduto parlando di una “sofisticata truffa di impersonificazione esterna”. Secondo Revolut, un soggetto non autorizzato avrebbe utilizzato un indirizzo email appartenente a un dominio legittimo di un’agenzia governativa per presentare richieste fraudolente di informazioni.
La società ha precisato che “i sistemi di Revolut e i fondi dei clienti non sono stati toccati”, sottolineando di essere intervenuta immediatamente dopo aver individuato la frode. “Non appena individuata la frode abbiamo immediatamente bloccato l’indirizzo e informato l’agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria”, ha comunicato la banca. Revolut ha inoltre spiegato di aver contattato direttamente le persone coinvolte per fornire assistenza e informazioni sull’accaduto.
Tra le vittime anche l’imprenditore Mark Karpelès: “Revolut non avrebbe dovuto inviare quei dati”
Tra le persone coinvolte nella vicenda figura anche l’imprenditore francese Mark Robert Karpelès, noto per la sua attività nel settore delle criptovalute, che ha espresso dubbi sulla gestione della richiesta da parte della banca.“Revolut non avrebbe dovuto inviare dati dei clienti in risposta a un’e-mail solo perché proveniva da un’agenzia governativa”, ha dichiarato Karpelès, sollevando interrogativi sulle procedure di verifica adottate. La vicenda apre ora un confronto sulla sicurezza delle comunicazioni digitali istituzionali e sui controlli necessari quando vengono richieste informazioni estremamente sensibili.
Il Codacons chiede verifiche sulle Pec istituzionali violate
Sul caso è intervenuto anche il Codacons, che ha chiesto alle autorità competenti di approfondire la portata della violazione. L’associazione dei consumatori ha sollecitato accertamenti per capire “le dimensioni del fenomeno, se e quante istituzioni italiane siano state violate dai criminali informatici e quali Pec siano state utilizzate per realizzare furti di dati sensibili”. L’inchiesta dovrà ora chiarire non solo la dinamica tecnica dell’attacco, ma anche se la compromissione della casella istituzionale abbia riguardato esclusivamente questo episodio o possa essere collegata ad altre attività fraudolente.