Ha bussato gentilmente: «Sono la polizia, posso entrare?». E gli è stato aperto. Un gruppo di hacker è riuscito a farsi consegnare dati sensibili (passaporto, carta d'identità, conti bancari, operazioni con i Bitcoin, ecc.) di alcune centinaia di correntisti (680, stima il Financial Times) della banca inglese Revolut, servendosi di una mail compromessa di una istituzione italiana: la prefettura di Reggio Calabria, a quanto sembra.
Oltre alle autorità inglesi, sul caso indaga anche la Polizia postale per accesso abusivo a sistema informatico e frode informatica.
La banca fintech minimizza: «i sistemi di Revolut e i fondi dei clienti non sono stati toccati». Ma il data breach è stato clamoroso per la modalità con cui è stato messo a segno. Sembra infatti che la truffa sia proseguita per circa 5 mesi con richieste spalmate su più periodi prima di essere scoperta. A non insospettire la banca, il fatto che provenissero da una PEC istituzionale con il dominio .it e fossero firmate «polizia postale». Gli istituti finanziari sono infatti tenuti per legge a ottemperare alle richieste ufficiali provenienti dalle forze dell'ordine o dalle agenzie governative, trattandole come vincolanti. Le comunicazioni sembravano peraltro corredate da una valida autenticazione tecnica del dominio e sono state evase nell'ambito delle ordinarie procedure di legge.
In realtà, c'erano segnali che avrebbero potuto far drizzare le antenne: le richieste erano firmate dalla Polizia postale ma inviate da una PEC della prefettura di Reggio Calabria (mentre la Polizia postale dispone di un proprio indirizzo) e, soprattutto, mancava il decreto dell'autorità giudiziaria che deve sempre scortare questo tipo di atti.
Revolut ha parlato di una «sofisticata truffa di impersonificazione esterna, nella quale un soggetto terzo non autorizzato ha utilizzato un indirizzo e-mail appartenente a un dominio legittimo di un'agenzia governativa per presentare richieste fraudolente di informazioni». La società ha precisato: «Non appena individuata la frode abbiamo immediatamente bloccato l'indirizzo e informato l'agenzia governativa interessata, nonché le autorità di contrasto, le autorità per la protezione dei dati e le autorità di vigilanza finanziaria. Abbiamo contattato direttamente il numero limitato di persone coinvolte per informarle dell'accaduto e fornire loro assistenza». Tra le vittime c'è anche l'imprenditore francese Mark Robert Karpelès, che ha protestato: «Revolut non avrebbe dovuto inviare dati dei clienti in risposta a un'e-mail solo perché proveniva da un'agenzia governativa».
Sulla vicenda interviene anche il Codacons, chiedendo «alle autorità competenti di attivarsi per accertare le dimensioni del fenomeno, se e quante istituzioni italiane siano state violate dai criminali informatici e quali PEC siano state utilizzate per realizzare furti di dati sensibili».
© RIPRODUZIONE RISERVATA