Il caso Revolut arriva a Reggio Calabria. Dietro le false richieste governative che hanno convinto la fintech britannica a consegnare informazioni riservate su centinaia di clienti ci sarebbe, secondo le nuove ricostruzioni, una casella PEC attribuita alla Prefettura di Reggio Calabria.
È il nuovo elemento emerso nelle ultime ore nella vicenda raccontata ieri da TGWEB AI. Revolut aveva confermato di essere caduta in una sofisticata operazione di impersonificazione: un soggetto non autorizzato era riuscito a inviare richieste di informazioni utilizzando un dominio appartenente realmente a un’agenzia governativa.
Adesso emerge un dettaglio decisivo: quel canale istituzionale sarebbe italiano e condurrebbe proprio a Reggio Calabria.
Una PEC istituzionale e le false richieste della Polizia postale
Secondo le ricostruzioni giornalistiche, gli aggressori avrebbero utilizzato una casella di posta elettronica certificata riconducibile alla Prefettura di Reggio Calabria per inviare a Revolut richieste di informazioni presentandosi come appartenenti alla Polizia postale.
Il meccanismo spiega perché l’attacco sia risultato particolarmente credibile. Non si sarebbe trattato del classico phishing basato su un indirizzo costruito per assomigliare a quello di un’istituzione: le comunicazioni sarebbero partite da un autentico dominio istituzionale italiano.
Proprio questa caratteristica avrebbe contribuito a superare i controlli tecnici e a convincere Revolut della legittimità delle richieste.
Resta però da chiarire come la casella sia stata compromessa, per quanto tempo sia rimasta nella disponibilità degli aggressori e se sia stata utilizzata anche per colpire altri soggetti.
Circa 680 clienti coinvolti
Secondo il Financial Times, gli hacker avrebbero ottenuto informazioni relative a circa 680 clienti Revolut, dopo essersi presentati come appartenenti alle forze dell’ordine italiane.
Tra i dati finiti nelle mani degli aggressori figurerebbero informazioni personali particolarmente sensibili: documenti d’identità, selfie utilizzati per la verifica dell’identità, indirizzi, coordinate bancarie, IBAN, movimenti finanziari e informazioni relative a operazioni in Bitcoin.
Le richieste sarebbero state inviate ripetutamente nell’arco di diversi mesi.
Revolut ha confermato di aver comunicato informazioni riservate a un soggetto non autorizzato dopo aver ricevuto richieste fraudolente provenienti da un dominio governativo legittimo.
La fintech precisa tuttavia che i propri sistemi informatici non sono stati violati e i fondi dei clienti non sono stati compromessi.
Cosa è confermato e cosa deve ancora essere accertato
È importante distinguere i due livelli della vicenda.
La consegna non autorizzata dei dati è stata confermata direttamente da Revolut. La società ha inoltre confermato che le richieste fraudolente utilizzavano un indirizzo appartenente a un dominio governativo autentico.
Il collegamento specifico con la PEC della Prefettura di Reggio Calabria, invece, emerge dalle ricostruzioni giornalistiche e dalle informazioni attribuite agli hacker.
Al momento manca una comunicazione ufficiale delle autorità italiane che definisca con precisione origine, durata e dimensioni dell’eventuale compromissione dell’infrastruttura istituzionale.
Sono in corso accertamenti anche sul versante italiano.
Il problema va oltre Revolut
La vicenda assume così una dimensione ancora più delicata rispetto a quanto emerso inizialmente.
Se fosse definitivamente confermata la compromissione di una casella PEC istituzionale, il problema non riguarderebbe soltanto le procedure utilizzate da Revolut per verificare le richieste di accesso ai dati.
Riguarderebbe anche l’affidabilità delle identità digitali attraverso le quali amministrazioni pubbliche e soggetti privati comunicano informazioni sensibili.
È proprio questa la caratteristica più significativa dell’attacco: gli aggressori non avrebbero avuto bisogno di entrare nei sistemi di Revolut. Avrebbero sfruttato la fiducia che un’azienda attribuisce, normalmente, a una comunicazione proveniente da un canale istituzionale autentico.
E adesso gli accertamenti dovranno stabilire se il caso Revolut sia stato l’unico utilizzo della casella compromessa o se la stessa porta sia stata aperta anche verso altri soggetti.
